Anexo de Encargo de Tratamiento de Datos Personales (DPA)

1. Partes y naturaleza de este anexo

• Responsable del tratamiento: la clínica o profesional que contrata el servicio ClinicAI (el «Cliente» de los Términos del Servicio; aquí, «la Clínica»).
• Encargado del tratamiento: VVS Solutions SL, NIF B-22830095, C/ Blas Valero n.º 55, 1.º izq., 03201 Elche (Alicante), España, info@clinicai.es («ClinicAI»).

Este anexo forma parte integrante de los Términos del Servicio y se acepta junto con ellos en el proceso de contratación, cumpliendo la forma escrita electrónica del art. 28.9 RGPD. Se rige por el Reglamento (UE) 2016/679 («RGPD») y la Ley Orgánica 3/2018 («LOPDGDD»).

2. Objeto, duración y descripción del tratamiento (art. 28.3)

ClinicAI tratará datos personales por cuenta de la Clínica exclusivamente para prestar el servicio contratado:

• Naturaleza y finalidad: operación de un software de gestión de clínica y de un asistente conversacional de WhatsApp para: registro de pacientes, historia clínica y valoración, gestión y recordatorio de citas, facturación al paciente, respuestas a consultas, listas de espera, encuestas post-cita, aviso de llamadas perdidas, grabación de la consulta para rellenar la valoración (solo si la Clínica la usa) y — solo si la Clínica lo activa y bajo su responsabilidad — campañas de comunicación comercial.
• Duración: la vigencia de los Términos del Servicio, más el periodo de devolución y supresión de la cláusula 7.
• Interesados: pacientes y personas que contactan con la Clínica; personal de la Clínica.
• Tipos de datos: identificativos (nombre, apellidos, teléfono, email, NIF a efectos de facturación); datos de agenda y asistencia; contenido de conversaciones de WhatsApp (texto y notas de voz); datos de salud que la Clínica o el paciente introduzcan (motivo de consulta, valoración y notas clínicas, imágenes diagnósticas si la Clínica usa esa función); audio de la consulta cuando la Clínica usa la grabación, que no se conserva: se elimina en cuanto se transcribe; registros de consentimiento; datos de facturación al paciente.

La Clínica garantiza la licitud de los datos que introduce, cumple su deber de información frente a los pacientes (arts. 13-14 RGPD) y dispone de base jurídica para el tratamiento, incluida la aplicable a los datos de salud (art. 9.2.h RGPD y D.A. 17.ª LOPDGDD).

3. Obligaciones de ClinicAI (art. 28.3 a-h)

a) Instrucciones. Tratar los datos solo según instrucciones documentadas de la Clínica — este anexo y la configuración que la Clínica realice en el servicio. Si ClinicAI considera que una instrucción infringe la normativa, informará a la Clínica antes de ejecutarla.

b) Confidencialidad. Las personas autorizadas por ClinicAI están sujetas a compromiso de confidencialidad que subsiste tras la relación.

c) Seguridad (art. 32). ClinicAI aplica, como mínimo: aislamiento de datos por clínica en base de datos (políticas de acceso por clinic_id), cifrado en tránsito (TLS) y en reposo por los proveedores de infraestructura, control de acceso basado en roles, credenciales de integraciones almacenadas cifradas, copias de seguridad periódicas gestionadas por el proveedor de base de datos, y registro de actividad para investigación de incidentes con retención limitada.

d) Subencargados. La Clínica autoriza de forma general los subencargados del Anexo A. ClinicAI comunicará los cambios de esa lista con al menos 15 días de antelación por email o aviso en el servicio; la Clínica podrá oponerse por motivos razonables, en cuyo caso cualquiera de las partes podrá resolver el contrato si no hay alternativa viable. ClinicAI impone a cada subencargado obligaciones equivalentes a las de este anexo y responde frente a la Clínica de su cumplimiento.

e) Derechos de los interesados. La Clínica es el único punto de contacto con sus pacientes. Si un paciente dirige a ClinicAI una solicitud de derechos (acceso, rectificación, supresión, portabilidad, oposición, limitación), ClinicAI la remitirá a la Clínica sin responderla directamente. ClinicAI prestará a la Clínica la asistencia técnica necesaria (exportación, rectificación o supresión de datos) en un plazo máximo de 5 días hábiles desde la petición a info@clinicai.es.

f) Violaciones de seguridad. ClinicAI notificará a la Clínica cualquier violación de la seguridad que afecte a datos personales sin dilación indebida y, a más tardar, en 48 horas desde que tenga constancia, con la información del art. 33.3 RGPD disponible en ese momento (naturaleza, categorías y número aproximado de afectados, consecuencias probables y medidas adoptadas o propuestas), completándola según avance la investigación. La notificación a la autoridad de control y a los interesados corresponde a la Clínica como responsable.

g) Asistencia al responsable. ClinicAI asistirá a la Clínica, en lo que razonablemente le corresponda como encargado, en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto).

h) Información y auditoría. ClinicAI pondrá a disposición de la Clínica la información necesaria para demostrar el cumplimiento de este anexo y permitirá auditorías razonables, con preaviso mínimo de 30 días, máximo una vez al año, en horario laboral y a costa de la Clínica, sin acceso a datos de otros clientes.

4. Obligaciones de la Clínica

La Clínica se obliga a: (i) facilitar a ClinicAI solo los datos necesarios para el servicio; (ii) cumplir su deber de información y disponer de las bases jurídicas aplicables, incluido el consentimiento para comunicaciones comerciales; (iii) configurar en el servicio su propia política de privacidad para los flujos de cara al paciente; (iv) atender las solicitudes de derechos de sus pacientes; (v) usar el servicio conforme a los Términos; (vi) si usa la grabación de la consulta, informar al paciente y obtener su consentimiento antes de cada grabación, dejándolo registrado en el servicio.

5. Transferencias internacionales

Algunos subencargados del Anexo A están establecidos fuera del EEE o pertenecen a grupos con matriz fuera del EEE. Cada transferencia se ampara en el mecanismo indicado en el Anexo A (decisión de adecuación, cláusulas contractuales tipo u otro instrumento del Capítulo V RGPD). La fila de DeepSeek queda expresamente señalada como pendiente de validación profesional.

6. Registro y responsabilidad

Cada parte llevará el registro de actividades de tratamiento que le corresponda (art. 30 RGPD). Cada parte responde de las sanciones e indemnizaciones derivadas de sus propios incumplimientos de la normativa de protección de datos; el régimen de limitación de responsabilidad de los Términos no se aplica a lo que la ley no permita limitar.

7. Fin del servicio: devolución y supresión

Terminado el contrato, y a elección de la Clínica comunicada a info@clinicai.es:

• ClinicAI exportará los datos de la Clínica en formato estructurado de uso común (JSON/CSV) si se solicita dentro de los 30 días siguientes a la terminación; y
• suprimirá los datos personales tratados por cuenta de la Clínica una vez transcurrido ese plazo (incluida su eliminación de las copias de seguridad conforme al ciclo de rotación del proveedor), salvo los datos que ClinicAI deba conservar por obligación legal (p. ej., facturación, hasta 6 años), que quedarán bloqueados.

---

Anexo A — Subencargados autorizados

Versión 1.1 — 2026-10-21. Lista verificada contra el código y la configuración del servicio el 2026-09-21. Cambios respecto a la v1.0: la cláusula 2 recoge la valoración y la grabación de la consulta, la cláusula 4 añade la obligación (vi), y la fila de OpenAI añade esas funciones, la entidad contratante y la conservación de datos.

A.1 Subencargados que tratan datos de pacientes

A.2 Proveedores de ClinicAI como responsable (no tratan datos de pacientes)

Para transparencia: Stripe (cobro de la suscripción de la Clínica), Kinde (autenticación del personal de la Clínica), y herramientas de analítica limitadas a las páginas públicas de marketing. Se describen en la Política de Privacidad de ClinicAI.