Contrato de encargo de tratamiento (modelo)
Contrato sobre el tratamiento de datos personales por encargo conforme al art. 28 RGPD entre el laboratorio usuario («Responsable») y [FIRMA EINTRAGEN], [STRASSE + HAUSNUMMER EINTRAGEN], [PLZ EINTRAGEN] [ORT EINTRAGEN] («Encargado»). Este contrato pasa a formar parte del acuerdo cuando el Responsable lo acepta en el registro o en los ajustes de la cuenta.
1. Objeto y duración
El Encargado opera la plataforma Pontiq y trata datos personales por cuenta del Responsable durante la vigencia del contrato de uso.
2. Naturaleza, finalidad y alcance
Recogida, almacenamiento, visualización, transmisión y supresión de los datos que el Responsable trata a través de la plataforma, en particular para la gestión de casos y pedidos, la planificación de la producción, la generación de documentos y las funciones opcionales de IA. Esto incluye el almacenamiento cifrado (vault de credenciales) de las credenciales que el Responsable deposita para nubes de escáner y portales de fabricantes, así como la recuperación automatizada de nuevos casos de dichos servicios de terceros por instrucción documentada del Responsable.
3. Categorías de interesados y de datos
- Interesados: pacientes de las clínicas remitentes; empleados del Responsable; personas de contacto de las clínicas.
- Categorías de datos: datos identificativos (nombre/seudónimo del paciente, números de caso), datos de pedidos y casos (tipo de trabajo, material, color, notas), archivos de escaneo 3D y adjuntos, datos de usuario de los empleados (nombre, correo, rol), datos de comunicación. Pueden incluirse datos de salud en el sentido del art. 9 RGPD.
4. Instrucciones
El Encargado trata los datos exclusivamente según instrucciones documentadas del Responsable; el uso de las funciones de la plataforma constituye una instrucción. Si el Encargado considera ilícita una instrucción, informará sin demora al Responsable.
5. Confidencialidad
Solo interviene personal comprometido con la confidencialidad o sujeto a un deber legal de secreto adecuado.
6. Medidas técnicas y organizativas (art. 32 RGPD)
Cifrado TLS en todas las conexiones; almacenamiento cifrado de tokens y hash de contraseñas; control de acceso por roles y separación de clientes a nivel de datos; registro de eventos relevantes para la seguridad; copias de seguridad y pruebas de restauración periódicas; alojamiento exclusivamente en centros de datos de la UE.
7. Subencargados
El Responsable autoriza con carácter general subencargados para alojamiento (UE), envío de correos y procesamiento de IA (Mistral AI SAS, Francia — tratamiento en la UE). El Encargado anunciará los cambios previstos con antelación razonable; el Responsable podrá oponerse por motivos importantes de protección de datos. Con todos los subencargados existen contratos según el art. 28.4 RGPD.
8. Asistencia
El Encargado asiste razonablemente al Responsable en los derechos de los interesados (arts. 12–23 RGPD), la seguridad del tratamiento, las notificaciones de violaciones (arts. 33 y 34 RGPD) y las evaluaciones de impacto (arts. 35 y 36 RGPD).
9. Notificación de violaciones
El Encargado notificará al Responsable las violaciones de la seguridad de los datos sin dilación indebida, a más tardar 48 horas tras conocerlas, incluyendo la información del art. 33.3 RGPD cuando esté disponible.
10. Supresión y devolución
Al finalizar el contrato de uso, el Encargado suprime o devuelve todos los datos personales, salvo obligación legal de conservación. El Responsable puede solicitar antes una exportación (entrega en 30 días).
11. Pruebas y auditorías
El Encargado facilita toda la información necesaria para demostrar el cumplimiento. El Responsable puede realizar auditorías con preaviso en horario comercial habitual o encargarlas a terceros adecuados; se usarán prioritariamente certificaciones e informes existentes.
12. Disposiciones finales
Se aplica el derecho alemán. En lo demás rigen las condiciones generales. La invalidez de alguna cláusula no afecta al resto.