Contrato de encargo de tratamiento de datos

1. Objeto

El Encargado tratará por cuenta del Responsable los datos personales de sus pacientes y profesionales, incluidos datos de salud, únicamente para prestar el servicio Dialexis: almacenarlos, mostrarlos a quienes el Responsable autorice, respaldarlos y mantener la plataforma.

2. Instrucciones

• El Encargado solo tratará los datos siguiendo las instrucciones documentadas del Responsable, que son el uso normal de la plataforma y las solicitudes que le haga por escrito.
• Si el Encargado cree que una instrucción infringe la ley, se lo informará.
• El Encargado no usará los datos para fines propios ni los combinará con datos de otros centros.

3. Confidencialidad

El Encargado y quienes trabajen para él están sujetos a deber de confidencialidad sobre los datos, incluso después del término del servicio. El acceso a datos clínicos se limita a lo estrictamente necesario para resolver un problema técnico solicitado por el Responsable.

4. Seguridad

El Encargado aplica medidas técnicas y organizativas adecuadas al riesgo, que incluyen como mínimo:

• Cifrado en tránsito (HTTPS) y cifrado de notas clínicas, archivos adjuntos y respaldos.
• Control de acceso por equipo de atención y registro de auditoría inalterable de lecturas y modificaciones.
• Claves almacenadas con huella irreversible, límite de intentos y cierre de sesión por inactividad.
• Respaldos diarios cifrados con verificación y copia en otro lugar [POR CONFIRMAR: describir ubicación de la copia externa].
• Revisión periódica de las medidas y prueba de restauración de respaldos.

5. Subencargados

El Responsable autoriza a los siguientes subencargados. El Encargado avisará dentro de la plataforma antes de agregar o cambiar alguno, y el Responsable podrá oponerse por escrito.

• Cloudflare, Inc. (red de entrega y protección del sitio; por ella pasa el tráfico cifrado) — [POR CONFIRMAR: si se utiliza]
• Servicios de notificaciones push de los navegadores (Google, Mozilla, Apple, Microsoft): solo si la persona activa los avisos; reciben un mensaje cifrado que no incluye nombres de pacientes.

6. Derechos de los titulares

El Encargado ayudará al Responsable, con medidas técnicas razonables, a atender las solicitudes de acceso, rectificación, supresión, oposición, bloqueo y portabilidad. Si recibe una solicitud directa de un paciente, se la derivará al Responsable sin responderla.

7. Incidentes de seguridad

Si el Encargado toma conocimiento de una brecha que afecte datos del Responsable, se lo comunicará sin dilación indebida (su objetivo es hacerlo dentro de las 48 horas), con la información disponible: qué ocurrió, qué datos afecta, qué medidas se tomaron y un contacto. El Responsable decide si debe notificar a la autoridad y a los titulares, y el Encargado colaborará en ello.

8. Devolución y eliminación

Al término del servicio, el Encargado entregará una exportación de los datos si el Responsable la pide dentro de los 60 días siguientes y luego eliminará los datos y sus copias, salvo que la ley obligue a conservarlos. El Responsable es quien debe custodiar la ficha clínica por el plazo legal.

9. Información y auditoría

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato, incluido el registro de accesos de su centro, y facilitará revisiones razonables con aviso previo.

10. Duración y ley aplicable

Este contrato dura mientras el Encargado preste el servicio y mientras conserve datos del Responsable. Se rige por la ley chilena. Contacto: [email protected].