![](data:image/svg+xml,<svg display="block" role="presentation" viewBox="0 0 20 20" xmlns="http://www.w3.org/2000/svg"><path d="M 0 7 L 14 7 M 7 0 L 14 7 L 7 14" fill="transparent" height="14px" id="IgiwaydbD" stroke-dasharray="" stroke-linecap="round" stroke-linejoin="round" stroke-width="1.5" stroke="rgb(0, 0, 0)" transform="translate(3 3)" width="14px"/></svg>)
El presente apéndice describe el tratamiento de datos personales que lleva a cabo el encargado del tratamiento por cuenta del responsable del tratamiento en virtud del DPA.
1. Objeto y finalidades del tratamiento
El Encargado del tratamiento proporciona una solución de software como servicio (SaaS) (los «Servicios») diseñada para dar soporte a los flujos de trabajo clínicos, administrativos y/o de asistencia social del Responsable del tratamiento, incluyendo documentación basada en inteligencia artificial y funcionalidades de apoyo a la toma de decisiones clínicas. Los Servicios se definen con mayor detalle en el Contrato con el Cliente. Los Servicios también pueden incluir la recuperación de datos personales de los sistemas del cliente del Responsable del tratamiento.
El Encargado del tratamiento trata los Datos personales en nombre del Responsable del tratamiento con el único fin de prestar los Servicios en virtud del Acuerdo de cliente y de conformidad con las Instrucciones documentadas del Responsable del tratamiento. Esta descripción se aplica a los Servicios en su totalidad, independientemente de los módulos o funcionalidades que el Responsable del tratamiento decida activar o utilizar en cada momento.
La finalidad permitida incluye también la configuración, adaptación y personalización de los Servicios para el Responsable del tratamiento, sus usuarios autorizados y el inquilino del Responsable del tratamiento, incluyendo las preferencias de usuario, la configuración de los flujos de trabajo, las plantillas, la configuración del idioma, las configuraciones específicas por especialidad o función y el formato de salida específico del Responsable del tratamiento, así como la realización de controles de calidad y evaluaciones clínicas o de seguridad necesarias para la prestación segura, correcta y fiable de los Servicios a dicho Responsable del tratamiento, exclusivamente como parte de la prestación, el mantenimiento, el soporte y la seguridad de los Servicios.
El responsable del tratamiento determina los fines y los medios del tratamiento y es el único responsable de la base jurídica con arreglo a los artículos 6 y 9 del RGPD.
2. Categorías de interesados
Las siguientes son las subcategorías de los «titulares de datos» (tal y como se definen en la Ley de Protección de Datos) cuyos datos personales se tratan en virtud del presente anexo:
(a) «Usuario»: el profesional social o sanitario del Responsable del tratamiento, así como cualquier otro miembro del personal autorizado por el Responsable del tratamiento para acceder a los Servicios y utilizarlos.
(b) «Participante»: persona física que accede a servicios sanitarios, de asistencia social o servicios relacionados prestados por el responsable del tratamiento, siempre que dichos servicios estén documentados o respaldados a través de los Servicios.
(c) «Persona de apoyo del participante» se refiere a una persona, distinta del participante, que sea identificada o mencionada en relación con un participante a través de los Servicios, incluyendo, entre otros, a un tutor legal (por ejemplo, cuando el participante sea menor de edad), un asistente personal, un familiar o pariente cercano, un cuidador, un trabajador social u otro representante de los servicios sociales, un intérprete o traductor, un médico remitente u otra persona identificada o mencionada en relación con un Participante a través de los Servicios.
3. Categorías de datos personales
La tabla siguiente recoge las categorías de datos personales tratados por el encargado del tratamiento en nombre del responsable del tratamiento, junto con la categoría o categorías de interesados a las que se aplica cada una de ellas:
Categoría de datos personales | Descripción | Categoría de interesados aplicable |
|---|---|---|
Datos de identificación y contacto | Datos que identifican o permiten ponerse en contacto con un interesado, como el nombre, los datos de contacto y, cuando se mencione o se introduzca, un identificador único, como el número de identificación nacional o el ID de sesión. | Usuarios y participantes, únicamente en la medida en que dichos datos se mencionen o se introduzcan en relación con los Servicios o se obtengan de los sistemas de clientes del responsable del tratamiento. |
Datos de la cuenta y de uso | Datos generados a través del acceso y el uso de los Servicios, como identificadores de usuario, credenciales de inicio de sesión, dirección IP y datos de actividad o de registro. | Solo usuarios. Los participantes y los participantes de apoyo no disponen de cuentas en los Servicios. |
Datos relacionados con la salud | Datos relativos a la salud y a circunstancias delicadas relacionadas con ella que puedan comentarse o registrarse durante una consulta, o que puedan consultarse en los sistemas de clientes del responsable del tratamiento antes de una consulta o fuera de ella, tales como el historial médico, los síntomas, los diagnósticos, el tratamiento, la medicación, los resultados de pruebas y el estilo de vida o las circunstancias sociales (por ejemplo, hábitos relacionados con el tabaco o el alcohol, situación familiar). | Participantes. |
Datos de grabación y documentación | Grabaciones de audio, transcripciones, notas clínicas, documentos generados y códigos sugeridos producidos en el marco de los Servicios, que pueden incluir cualquiera de las categorías descritas anteriormente, así como cualquier otro dato personal registrado, generado o al que se haga referencia a través de la prestación de los Servicios. | Principalmente usuarios y participantes. Participantes de apoyo únicamente en la medida en que aparezcan en una grabación o en la documentación resultante. |
Datos de comunicación | Datos relacionados con invitaciones y notificaciones, como el nombre (por ejemplo, del administrador que invita u otro remitente o destinatario), la dirección de correo electrónico, el nombre de la clínica y los metadatos de entrega o interacción. | Únicamente usuarios, en relación con invitaciones y notificaciones de cuentas. |
Datos de asistencia | Datos relacionados con las solicitudes de asistencia enviadas en relación con los Servicios, como el nombre y los datos de contacto del solicitante, el contenido de la solicitud de asistencia y la correspondencia relacionada, así como los metadatos de interacción. | Solo usuarios, en relación con las solicitudes de asistencia enviadas al Encargado del tratamiento en relación con los Servicios. |
Datos de personalización y configuración | Preferencias del usuario, plantillas, ajustes de idioma, ajustes de flujo de trabajo, configuraciones basadas en especialidades o roles, formato de salida específico del Responsable del tratamiento, modificaciones realizadas por el usuario, correcciones y comentarios sobre documentos generados u otros resultados (en la medida en que se utilicen para configurar o personalizar los Servicios), artefactos de personalización, incrustaciones, bases de datos vectoriales y metadatos relacionados, únicamente en la medida en que se generen o mantengan para el inquilino del Responsable del tratamiento y los Usuarios autorizados como parte de la prestación de los Servicios. | Los usuarios y, únicamente si el elemento contiene o revela su información, los participantes y los participantes de apoyo. Dichos datos siguen siendo datos personales y, cuando proceda, datos de entrada, a menos que se hayan anonimizado de forma irreversible. |
4. Duración del tratamiento
Los datos personales relativos a los usuarios son tratados y almacenados por el encargado del tratamiento durante la vigencia del contrato con el cliente y, posteriormente, devueltos y/o suprimidos de conformidad con el acuerdo de tratamiento de datos (DPA), salvo que las partes acuerden lo contrario por escrito.
Los datos personales relativos a los participantes y a los participantes de apoyo son almacenados por el encargado del tratamiento durante 30 días a partir de la fecha de su creación, tras lo cual se tratan con el fin de garantizar que no permanezcan en el registro datos que permitan una identificación directa, como nombres, direcciones y números de identificación nacional, salvo que las partes acuerden lo contrario por escrito. Este plazo de conservación operativo se aplica durante la vigencia del Contrato de Cliente y se entiende sin perjuicio de lo dispuesto en el DPA, que regula por separado la devolución y/o supresión de los datos personales tras la rescisión del DPA. Los datos de personalización y configuración se conservan únicamente durante el tiempo necesario para prestar los Servicios al Responsable del tratamiento y a sus usuarios autorizados, o durante el plazo más breve especificado en el Contrato de Cliente, en las instrucciones específicas de cada módulo o en el calendario de conservación.