Anexo al Acuerdo de Servicio de la Plataforma Atenvio.
El presente Anexo de Tratamiento de Datos (en adelante, el "DPA") forma parte integral del Acuerdo de Servicio suscrito entre [RAZÓN SOCIAL / LLC] (en adelante, "Atenvio" o el "Encargado") y el profesional de la salud o establecimiento sanitario usuario de la Plataforma (en adelante, el "Médico" o el "Responsable"). En caso de conflicto entre el Acuerdo de Servicio y este DPA respecto al tratamiento de datos personales, prevalecerá este DPA.
1. Marco y roles de las partes
El Médico actúa como Responsable del tratamiento de los Datos del Paciente y determina los fines y medios del mismo. Atenvio actúa como Encargado del tratamiento y trata dichos datos únicamente por cuenta y bajo instrucciones documentadas del Médico, salvo lo previsto en la Cláusula 9 (Datos Analíticos Agregados), respecto de la cual Atenvio actúa como Responsable independiente.
Las partes reconocen que los Datos del Paciente incluyen datos de salud, considerados datos sensibles o de categoría especial, sujetos a un nivel reforzado de protección.
2. Objeto, naturaleza y finalidad del tratamiento
- Objeto: Prestación del servicio de gestión de pacientes de la Plataforma Atenvio.
- Naturaleza: Recogida, almacenamiento temporal en tránsito, consulta (lectura), visualización, organización y comunicación de datos por instrucción del Médico.
- Finalidad: Permitir al Médico gestionar historia clínica, agenda, citas, pagos y comunicaciones con sus pacientes.
- Duración: Mientras esté vigente el Acuerdo de Servicio, más los plazos legales de conservación aplicables.
- Categorías de interesados: Pacientes del Médico.
- Categorías de datos: Identificación y contacto, datos clínicos y de salud, prescripciones, datos de citas y de pago.
3. Modelo de almacenamiento y acceso a archivos
Las partes reconocen expresamente que los archivos clínicos clave de los pacientes se almacenan en el Repositorio del Médico (por ejemplo, Google Drive bajo su control) y no en los servidores de Atenvio.
No obstante, para mostrar dicha información dentro de la Plataforma, Atenvio realiza operaciones de lectura sobre el Repositorio del Médico. En consecuencia, los datos transitan y se procesan temporalmente a través de la infraestructura de Atenvio. El Médico autoriza expresamente este acceso como instrucción de tratamiento. Atenvio se obliga a no almacenar de forma permanente dichos archivos más allá de lo técnicamente necesario para prestar el servicio (por ejemplo, caché temporal), y a aplicar sobre ellos las medidas de seguridad de la Cláusula 5.
La seguridad, los permisos de acceso y las copias de seguridad del Repositorio del Médico son responsabilidad exclusiva del Médico. Atenvio no responde por incidentes originados en dicho repositorio.
4. Obligaciones de Atenvio como Encargado
- Tratar los Datos del Paciente únicamente conforme a las instrucciones documentadas del Médico, incluido este DPA.
- Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
- Aplicar las medidas técnicas y organizativas descritas en la Cláusula 5.
- Asistir al Médico, en la medida de lo posible, en la atención de las solicitudes de ejercicio de derechos de los pacientes.
- Asistir al Médico en el cumplimiento de sus obligaciones de seguridad y notificación de incidentes.
- Suprimir o devolver los datos a la terminación del servicio, conforme a la Cláusula 8.
- Poner a disposición del Médico la información necesaria para demostrar el cumplimiento de estas obligaciones.
5. Medidas de seguridad
Atenvio aplicará medidas técnicas y organizativas razonables y apropiadas al riesgo, entre ellas:
- Cifrado de los datos en tránsito y, cuando aplique, en reposo.
- Control de acceso basado en roles y autenticación de los usuarios.
- Registro de actividades de acceso a datos sensibles (logs).
- Minimización del almacenamiento de archivos clínicos en infraestructura propia.
- Procedimientos de respaldo y recuperación para los datos que obren en su infraestructura.
- Evaluación periódica de la eficacia de las medidas.
El Médico reconoce que ninguna medida de seguridad garantiza una protección absoluta y que el nivel de seguridad del Repositorio del Médico depende de su propia configuración.
6. Subencargados
El Médico autoriza a Atenvio a recurrir a subencargados (por ejemplo, proveedores de infraestructura en la nube, procesadores de pago o servicios de almacenamiento) para la prestación del servicio. Atenvio mantendrá una lista actualizada de subencargados a disposición del Médico e impondrá a estos obligaciones de protección equivalentes a las de este DPA. Atenvio informará de cambios sustanciales en los subencargados con antelación razonable, pudiendo el Médico oponerse por motivos fundados.
7. Transferencias internacionales
El Médico reconoce y autoriza que el tratamiento puede implicar el acceso a los datos desde la República Bolivariana de Venezuela, donde opera el equipo de Atenvio, así como el uso de proveedores ubicados en Estados Unidos u otras jurisdicciones. Atenvio adoptará las garantías razonables y exigibles conforme a la legislación aplicable para dichas transferencias. [Verificar requisitos específicos de transferencia internacional de la jurisdicción de cada Médico.]
8. Devolución y supresión de datos
A la terminación del Acuerdo, y a elección del Médico, Atenvio devolverá o suprimirá los Datos del Paciente que obren en su infraestructura, dentro de un plazo razonable, salvo obligación legal de conservación. Los archivos del Repositorio del Médico permanecen bajo el control exclusivo del Médico y no se ven afectados por esta cláusula.
9. Datos Analíticos Agregados (Atenvio como Responsable)
El Médico autoriza a Atenvio a tratar información general (como categorías de medicamentos, patologías frecuentes o métricas de uso) con fines analíticos, estadísticos y de mejora del producto, actuando Atenvio como Responsable de este tratamiento específico.
- Estos datos serán agregados y anonimizados de forma que no permitan identificar, directa o indirectamente, a ningún paciente.
- Atenvio no venderá, cederá ni publicará información individual de los pacientes.
- El proceso de anonimización será irreversible una vez completado.
10. Notificación de incidentes de seguridad
Atenvio notificará al Médico, sin demora indebida tras tener conocimiento, cualquier violación de seguridad que afecte a los Datos del Paciente tratados en su infraestructura, proporcionando la información razonablemente disponible para que el Médico cumpla sus propias obligaciones de notificación ante la autoridad y los interesados.
11. Auditoría
Atenvio pondrá a disposición del Médico la información necesaria para acreditar el cumplimiento de este DPA. Las auditorías, cuando procedan, se realizarán con preaviso razonable, sin afectar la seguridad de otros clientes y, preferentemente, mediante certificaciones o informes existentes.
12. Duración
Este DPA estará vigente mientras Atenvio trate Datos del Paciente por cuenta del Médico. Las obligaciones que por su naturaleza deban subsistir (confidencialidad, supresión) continuarán tras su terminación.
Contacto: hola@atenvio.app