Contrato de encargo del tratamiento
Última actualización: 18 de octubre de 2026
1. Partes
De una parte, la clínica que contrata Orbentyx, responsable del tratamiento de los datos de sus pacientes (en adelante, «el Responsable»). De otra, [pendiente de completar], con NIF [pendiente de completar] y domicilio en [pendiente de completar], titular de Orbentyx (en adelante, «el Encargado»). Este contrato forma parte de los términos del servicio y se acepta al dar de alta la clínica o, para clínicas ya existentes, desde Ajustes.
2. Objeto
El Encargado trata datos personales por cuenta del Responsable con el único fin de prestarle el servicio de software de gestión clínica contratado (agenda, pacientes, historial clínico, presupuestos, facturación, comunicaciones con pacientes y las funciones opcionales que el Responsable active), conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
3. Datos e interesados
Categorías de interesados: pacientes de la clínica y su personal usuario de la plataforma. Tipos de datos: identificativos, de contacto, económicos y de facturación y, por la naturaleza del servicio, datos de salud (categoría especial, art. 9 RGPD): historial clínico, exploraciones, tratamientos, documentos clínicos y alergias.
4. Duración
El encargo dura lo mismo que la suscripción. Al terminar, el Responsable dispone de 60 días para exportar sus datos desde la propia aplicación; transcurrido ese plazo, el Encargado los suprime o anonimiza de forma segura, salvo los que una norma le obligue a conservar, que mantendrá bloqueados durante el plazo legal.
5. Obligaciones del Encargado
(a) Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato y el uso que haga de la aplicación; si una instrucción infringe la normativa, el Encargado se lo comunicará de inmediato. (b) No usar los datos para fines propios ni cederlos, salvo obligación legal. (c) Garantizar que las personas autorizadas a tratarlos se han comprometido a la confidencialidad. (d) Aplicar las medidas de seguridad del art. 32 RGPD: cifrado en tránsito, contraseñas con hash robusto, verificación en dos pasos, control de acceso por roles, aislamiento de los datos de cada clínica, registro de auditoría y copias de seguridad. (e) Ayudar al Responsable a atender los derechos de los interesados, para lo que la aplicación incluye exportación y anonimización de pacientes. (f) Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas y, cuando proceda, evaluación de impacto. (g) Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso y a su cargo.
6. Brechas de seguridad
El Encargado notificará al Responsable cualquier violación de la seguridad de los datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia, con la información disponible para que el Responsable pueda, si procede, notificarla a la AEPD dentro de las 72 horas que exige el art. 33 RGPD.
7. Subencargados
El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados, imprescindibles para prestar el servicio: proveedor de alojamiento y base de datos en la Unión Europea (Vercel y Neon, o el proveedor del servidor dedicado), proveedor de correo transaccional (Brevo) y, solo cuando estén activos, pasarela de pago (Stripe, sin acceso a datos de pacientes), monitorización de errores (Sentry) y el proveedor de inteligencia artificial que use el asistente de IA. El Encargado impone a cada uno las mismas obligaciones de este contrato y comunicará con antelación cualquier alta o sustitución, para que el Responsable pueda oponerse; si lo hace, podrá resolver el contrato sin penalización.
8. Transferencias internacionales
Los datos se alojan en la Unión Europea. Si algún subencargado accediera a ellos desde fuera del Espacio Económico Europeo, se hará con las garantías del capítulo V del RGPD (decisión de adecuación o cláusulas contractuales tipo).
9. Obligaciones del Responsable
Contar con base jurídica para tratar los datos de sus pacientes, informarles conforme al art. 13 RGPD, gestionar los accesos de su personal y atender las solicitudes de derechos que le dirijan.
10. Contacto
Para cualquier cuestión sobre este encargo o para notificar una incidencia: hola@orbentyx.com.