Acuerdo de tratamiento de datos

El Cliente es el responsable de los datos personales de sus pacientes, clientes y contactos que trata con Tendia. Tendia es su encargado y los trata por su cuenta para prestar el servicio descrito en el Anexo I. Si el Cliente es a su vez encargado de otro responsable (por ejemplo, una agencia que gestiona a una clínica), Tendia actúa como subencargado con las mismas obligaciones.

Este acuerdo cumple la función del contrato del art. 28 del RGPD, del contrato de transmisión del Decreto 1074 de 2015 (Colombia, art. 2.2.2.25.5.2) y de las cláusulas de remisión al encargado de la normativa mexicana. Si contradice los Términos en materia de datos personales, prevalece este acuerdo.

• Tendia trata los datos solo según las instrucciones documentadas del Cliente: estos Términos, este acuerdo y lo que el Cliente configura en la app (agentes, campañas, recordatorios, integraciones).
• Tendia no los usa para fines propios, no los vende, no los comparte para publicidad y no los combina con datos de otros clientes. Tampoco los usa para entrenar modelos de IA.
• Si una instrucción nos parece contraria a la ley, te lo decimos y podemos no ejecutarla.
• El Cliente garantiza que tiene base legal para cada tratamiento que encarga, incluido el consentimiento expreso para datos de salud cuando se exija, y que informa a sus pacientes (puede usar el aviso que genera Tendia).

Solo acceden a los datos las personas de Tendia que lo necesitan para operar, dar soporte o resolver incidentes, obligadas a confidencialidad. El soporte no entra a la historia clínica salvo que el Cliente lo pida para resolver un problema concreto.

Tendia aplica las medidas técnicas y organizativas del Anexo II, apropiadas al riesgo de los datos de salud, y las revisa conforme evoluciona el servicio. Al Cliente le corresponde gestionar bien sus accesos (usuarios, roles y quién tiene acceso clínico).

• El Cliente autoriza de forma general a los subencargados publicados en Subencargados.
• Tendia avisará de cualquier subencargado nuevo o sustituido con al menos 15 días de antelación (en esa página y por correo o dentro de la app). El Cliente puede oponerse por motivos razonables de protección de datos; si no hay solución, puede terminar el contrato sin penalización.
• Cada subencargado tiene un contrato con obligaciones equivalentes a este acuerdo. Tendia responde ante el Cliente de lo que hagan.

Los datos se alojan en Estados Unidos. Las garantías por país están en Transferencias internacionales. Para los datos que el Cliente exporte desde el Espacio Económico Europeo, las partes incorporan por referencia las cláusulas contractuales tipo de la Decisión (UE) 2021/914, módulo 2 (responsable a encargado), con el Cliente como exportador y Tendia como importador, y con las opciones del apartado 12.3.

• La app permite al Cliente atender la mayoría de solicitudes por sí mismo: exportar los datos de un contacto, corregirlos, darlo de baja de marketing o anonimizarlo (derecho al olvido), respetando la conservación obligatoria de la historia clínica.
• Si un paciente escribe a Tendia, le pasamos la solicitud al Cliente sin demora y no la respondemos nosotros, salvo que el Cliente lo pida.
• Ayudamos al Cliente a responder dentro de los plazos de su país (México 20 días; Colombia 10 o 15 días hábiles; UE un mes).

Si Tendia conoce un incidente que afecta datos del Cliente, le avisa sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a confirmarlo, con lo que se sepa en ese momento: qué pasó, qué datos y cuántas personas, consecuencias probables, medidas tomadas y un contacto. Completaremos la información a medida que avance la investigación.

Así el Cliente puede cumplir sus propios plazos: 72 horas ante la autoridad en la UE, avisar de inmediato a los titulares afectados en México y 15 días hábiles ante la SIC en Colombia (donde Tendia, como encargado, también informa a la SIC).

Tendia da al Cliente la información razonable que necesite para evaluaciones de impacto, consultas previas a la autoridad o requerimientos de una autoridad sobre el servicio.

• Mientras la cuenta está activa o suspendida, el Cliente puede exportar sus datos desde la app o pidiéndolo a Tendia.
• Tras la baja definitiva de la cuenta, Tendia conserva los datos 90 días para que el Cliente pida su devolución y después los suprime de sus sistemas y de los de sus subencargados, salvo que una ley obligue a Tendia a conservarlos.
• La historia clínica debe conservarla el Cliente el tiempo que exige su país (México 5 años; Colombia 15; España al menos 5). Por eso el Cliente la exporta antes de la baja. Si quiere que Tendia la siga alojando, se acuerda por escrito.
• Las copias de seguridad se sobrescriben en sus ciclos normales y, mientras existan, siguen protegidas por este acuerdo.

Tendia pone a disposición del Cliente la información necesaria para demostrar que cumple este acuerdo: respuestas a cuestionarios de seguridad y la documentación de sus medidas. Si no basta, el Cliente puede auditar una vez al año, con 30 días de aviso, en horario laboral, a su costa y con confidencialidad, sin acceder a datos de otros clientes. Las autoridades pueden auditar cuando la ley lo prevea.

• Cifrado en tránsito (TLS) y en reposo (proveedores de base de datos y almacenamiento), más cifrado AES-256-GCM en la aplicación para notas y perfil clínico y para los tokens de acceso de Meta, Google y Microsoft.
• Separación por cuenta en todas las consultas; acceso a la historia clínica solo para personal clínico autorizado por el Cliente, con registro de auditoría de cada lectura y cambio.
• Registros clínicos protegidos contra borrado y modificación una vez firmados, salvo por los plazos legales de conservación.
• Archivos en almacenamiento privado con enlaces firmados que caducan; exportaciones de privacidad borradas a los 7 días.
• Autenticación gestionada por Supabase, contraseñas con hash, sesiones con cookies seguras; roles por cuenta.
• Secretos en variables de entorno del proveedor de alojamiento, nunca en el código.
• Monitoreo de errores sin datos personales por defecto; alertas del circuito de mensajería.
• Minimización: los avisos por Telegram no llevan, por defecto, el teléfono ni el texto de los mensajes; de la IP de los formularios solo se guarda una huella.
• Copias de seguridad del proveedor de base de datos y plan de respuesta a incidentes.