Contrato de encargo del tratamiento

Versión 01/10/2026

Contrato conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD).

1. Partes

• Responsable del tratamiento: el Cliente, titular de la clínica dada de alta en FisioNube.
• Encargada del tratamiento: [Razón social pendiente], NIF [NIF pendiente], con domicilio en [Domicilio pendiente] (FisioNube).

El contrato se acepta electrónicamente por el propietario de la clínica. FisioNube guarda constancia de quién lo acepta, cuándo, desde qué dirección IP y qué versión.

2. Objeto y duración

FisioNube trata datos personales por cuenta del Responsable para prestarle el servicio de gestión de clínica descrito en las Condiciones del servicio. El encargo dura lo que dure la suscripción, más el periodo de solo lectura que se indica en el apartado 12.

3. Naturaleza y finalidad

Alojamiento, almacenamiento, consulta, organización, comunicación por cuenta del Responsable (recordatorios, documentos para firmar, campañas que el Responsable decida), copia de seguridad y borrado. Finalidad: gestión de la clínica del Responsable.

4. Tipos de datos y de personas

• Pacientes del Responsable: datos identificativos y de contacto; datos de salud (historia clínica, valoraciones, documentos e imágenes clínicas); citas y asistencia; consentimientos y firmas; datos de facturación y cobro; aseguradora; preferencias de comunicación.
• Personal del Responsable: identificación, contacto profesional, número de colegiado, rol y registros de actividad.
• Otros: proveedores y contactos del Responsable.

Se tratan categorías especiales de datos (salud).

5. Obligaciones de FisioNube

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son las que resultan de este contrato y del uso que haga de la aplicación. Si una instrucción infringe la normativa, FisioNube avisará al Responsable.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o por obligación legal.
• Garantizar que las personas autorizadas a tratar los datos están sujetas a confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 RGPD, descritas en el anexo Medidas de seguridad.
• Asistir al Responsable en la atención de los derechos de los interesados. La aplicación incluye las herramientas para ello: exportar los datos de un paciente, bloquearlo, anonimizarlo, registrar su oposición a los perfiles y consultar quién ha accedido a su ficha.
• Asistir al Responsable en las evaluaciones de impacto y en las consultas previas, con la información de que disponga.
• Llevar un registro de las actividades de tratamiento efectuadas por cuenta del Responsable.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con preaviso y sin comprometer la seguridad de otros clientes.

6. Obligaciones del Responsable

• Tener base jurídica para el tratamiento e informar a los pacientes.
• Recabar los consentimientos necesarios, en particular para comunicaciones comerciales y para el uso de WhatsApp.
• Realizar, cuando proceda, la evaluación de impacto.
• Gestionar los usuarios de su clínica, sus permisos y sus credenciales.
• Atender las solicitudes de derechos de sus pacientes.
• Conservar la historia clínica durante el plazo legal, también después de terminar la suscripción.

7. Subencargados

El Responsable autoriza con carácter general a FisioNube a recurrir a los subencargados que figuran en la lista de Subencargados, necesarios para prestar el servicio.

• FisioNube exige a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato.
• FisioNube avisará con al menos 30 días de antelación de cualquier alta o sustitución. El Responsable puede oponerse por motivos razonables; si no se alcanza una solución, puede cancelar la suscripción.
• FisioNube responde ante el Responsable del cumplimiento de sus subencargados.

8. Transferencias internacionales

Los datos se alojan en la Unión Europea. Cuando un subencargado esté establecido fuera del Espacio Económico Europeo, la transferencia se amparará en una decisión de adecuación o en cláusulas contractuales tipo de la Comisión Europea. El detalle figura en la lista de Subencargados.

9. Violaciones de la seguridad

FisioNube notificará al Responsable sin dilación indebida y, como máximo, en 48 horas desde que tenga constancia de una violación de la seguridad que afecte a sus datos, con la información disponible: qué ha ocurrido, qué datos y cuántas personas están afectadas, qué consecuencias son probables y qué medidas se han tomado.

Corresponde al Responsable notificar a la Agencia Española de Protección de Datos y, en su caso, a los afectados. FisioNube le prestará la ayuda que necesite.

10. Derechos de los interesados

Si un paciente se dirige directamente a FisioNube para ejercer un derecho, FisioNube lo trasladará al Responsable sin demora y no responderá por su cuenta.

11. Perfiles y decisiones automatizadas

La aplicación calcula, por cuenta del Responsable, una estimación del riesgo de ausencia a las citas y segmentos de pacientes para comunicaciones. No se adoptan decisiones automatizadas con efectos jurídicos. El Responsable puede excluir a un paciente de estos cálculos desde su ficha.

12. Fin del encargo

• Durante los 90 días siguientes al fin de la suscripción, la clínica queda en solo lectura: el Responsable puede consultar sus datos y descargar una copia completa.
• A los 90 días del fin de la suscripción, FisioNube borra los datos y los archivos del Responsable. Las copias de seguridad que los contengan se sobrescriben según su ciclo normal.
• FisioNube puede conservar, bloqueados, los datos imprescindibles para atender responsabilidades derivadas del contrato, durante los plazos de prescripción.

13. Responsabilidad

Cada parte responde de los daños que cause por incumplir la normativa o este contrato, conforme al artículo 82 RGPD y a las Condiciones del servicio.

14. Ley y jurisdicción

Este contrato se rige por el RGPD y la ley española, y sigue lo dispuesto en las Condiciones del servicio sobre jurisdicción.