ACUERDO DE TRATAMIENTO DE DATOS PERSONALES

(Contrato de Encargado del Tratamiento conforme al artículo 28 del RGPD)

PARTES

RESPONSABLE DEL TRATAMIENTO (en adelante, el "Responsable"):

• Denominación social: [NOMBRE DE LA CLÍNICA / PROFESIONAL SANITARIO]
• NIF/CIF: [_________]
• Domicilio: [_________]
• Correo electrónico: [_________]
• Representante legal: [_________]

ENCARGADO DEL TRATAMIENTO (en adelante, el "Encargado"):

• Denominación social: [NOMBRE DE LA ENTIDAD TITULAR DE IOLX]
• NIF/CIF: [_________]
• Domicilio: [_________]
• Correo electrónico de contacto para protección de datos: [_________]
• Representante legal: [_________]

En adelante, conjuntamente denominadas las "Partes".

CLÁUSULA PRIMERA — OBJETO

El presente Acuerdo de Tratamiento de Datos (en adelante, "ATD") tiene por objeto regular las condiciones en que el Encargado tratará datos personales por cuenta del Responsable en el marco de la prestación del servicio de la plataforma IOLX (en adelante, el "Servicio"), una herramienta informática para profesionales de la oftalmología que ofrece un catálogo de lentes intraoculares (LIO) con fórmulas de cálculo publicadas en la literatura científica, gestión de pedidos de LIO y registro de datos postoperatorios. La plataforma no emite recomendaciones clínicas ni constituye un producto sanitario; la decisión clínica corresponde en todo momento al profesional sanitario.

Este ATD se formaliza en cumplimiento de lo dispuesto en:

• El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante, "RGPD").
• La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, "LOPDGDD").

CLÁUSULA SEGUNDA — DATOS TRATADOS, FINALIDADES Y BASE JURÍDICA

2.1. Categorías de interesados

• Profesionales sanitarios que utilizan la plataforma como usuarios registrados.
• Pacientes cuyos datos biométricos y clínicos son introducidos por los profesionales sanitarios para la consulta del catálogo de LIO y la aplicación de fórmulas de cálculo publicadas.

2.2. Categorías de datos personales

A) Datos de los profesionales sanitarios (usuarios)

B) Datos clínicos de pacientes (seudonimizados)

La plataforma no recoge datos directamente identificativos de los pacientes (nombres, apellidos, documento de identidad, fecha de nacimiento, dirección ni ningún otro dato que permita la identificación directa del interesado). Los datos clínicos se almacenan asociados únicamente a un identificador seudonimizado opaco asignado por el profesional sanitario. La capacidad de reidentificación reside exclusivamente en el Responsable del tratamiento; el Encargado no dispone de medios para identificar a los pacientes.

Nota: Conforme al artículo 4(5) del RGPD, los datos seudonimizados siguen siendo datos personales en la medida en que el Responsable puede vincularlos al paciente. No obstante, la seudonimización constituye una medida de seguridad adicional que reduce significativamente el riesgo en caso de acceso no autorizado a los sistemas del Encargado.

2.3. Finalidades del tratamiento

El Encargado tratará los datos personales exclusivamente para las siguientes finalidades, por instrucciones documentadas del Responsable:

1. Catálogo de LIO y aplicación de fórmulas: Presentación del catálogo de lentes intraoculares disponibles y aplicación de fórmulas de cálculo de potencia publicadas en la literatura científica, a partir de los datos biométricos del paciente introducidos por el profesional sanitario. La plataforma no genera recomendaciones clínicas; la selección de la lente es responsabilidad exclusiva del profesional.
2. Gestión de pedidos: Tramitación de pedidos de LIO a fabricantes, incluyendo envío de correos electrónicos con datos del pedido.
3. Registro postoperatorio: Almacenamiento de datos refractivos postoperatorios introducidos por el profesional sanitario para su propia consulta y registro de resultados.
4. Gestión de cuentas de usuario: Registro, autenticación, verificación de correo electrónico y administración de cuentas de profesionales sanitarios.
5. Auditoría y seguridad: Registro de acciones de los usuarios con fines de trazabilidad, seguridad y cumplimiento normativo.
6. Comunicaciones del servicio: Envío de correos electrónicos de verificación, notificaciones de pedidos y devoluciones.

2.4. Base jurídica del tratamiento

El Responsable declara que dispone de base jurídica suficiente para el tratamiento de los datos personales, en particular:

• Datos de profesionales sanitarios: Ejecución del contrato de prestación de servicios (Art. 6.1.b RGPD).
• Datos de salud de pacientes: Consentimiento explícito del interesado (Art. 9.2.a RGPD) o, en su caso, finalidades de medicina preventiva, diagnóstico médico o gestión de sistemas y servicios sanitarios (Art. 9.2.h RGPD), de acuerdo con lo previsto en la legislación sanitaria aplicable.

CLÁUSULA TERCERA — OBLIGACIONES DEL ENCARGADO

El Encargado se compromete a:

3.1. Tratamiento conforme a instrucciones

a) Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales de datos, salvo que esté obligado a ello en virtud del Derecho de la Unión o del Estado miembro que le sea aplicable. En tal caso, informará al Responsable de esa exigencia legal antes del tratamiento, salvo que el Derecho lo prohíba por razones importantes de interés público.

b) Informar inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos.

3.2. Deber de confidencialidad

a) Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad.

b) Esta obligación de confidencialidad subsistirá incluso tras la finalización de la relación contractual.

3.3. Medidas de seguridad

Aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD, que incluirán como mínimo:

3.4. Subencargados del tratamiento

a) El Responsable autoriza de forma general al Encargado para contratar otros encargados del tratamiento (subencargados) para la prestación del Servicio. A la fecha de firma del presente ATD, los subencargados autorizados son:

b) El Encargado informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados, dando al Responsable la oportunidad de oponerse a dichos cambios en un plazo de 15 días naturales desde la notificación. Si el Responsable se opone y el Encargado no puede prestar el Servicio sin dicho subencargado, cualquiera de las Partes podrá resolver el contrato.

c) El Encargado celebrará con cada subencargado un contrato que imponga las mismas obligaciones de protección de datos que las establecidas en el presente ATD. El Encargado será responsable ante el Responsable del cumplimiento de las obligaciones por parte de sus subencargados.

3.5. Transferencias internacionales de datos

a) No se realizarán transferencias internacionales de datos personales a terceros países u organizaciones internacionales sin la autorización previa del Responsable, salvo las ya autorizadas en la cláusula 3.4.

b) Para las transferencias a Resend, Inc. (EE.UU.), el Encargado garantizará que existan las garantías adecuadas conforme al Capítulo V del RGPD, tales como:

• Decisión de adecuación de la Comisión Europea (Marco de Privacidad de Datos UE-EE.UU., si aplicable).
• Cláusulas contractuales tipo adoptadas por la Comisión Europea.
• Cualquier otra garantía adecuada conforme a los artículos 46 o 49 del RGPD.

3.6. Asistencia al Responsable

a) Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, mediante medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados establecidos en el Capítulo III del RGPD.

La plataforma IOLX proporciona las siguientes funcionalidades para facilitar el ejercicio de derechos:

b) Asistir al Responsable para garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones de seguridad y evaluaciones de impacto), teniendo en cuenta la naturaleza del tratamiento y la información disponible para el Encargado.

3.7. Notificación de violaciones de seguridad

a) Notificar al Responsable sin dilación indebida, y en todo caso en un plazo máximo de 48 horas desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales, proporcionando como mínimo la siguiente información:

• Descripción de la naturaleza de la violación, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos personales afectados.
• Nombre y datos de contacto del delegado de protección de datos o de otro punto de contacto.
• Descripción de las posibles consecuencias de la violación.
• Descripción de las medidas adoptadas o propuestas para poner remedio a la violación, incluyendo las medidas para mitigar sus posibles efectos negativos.

b) Documentar cualquier violación de seguridad, incluyendo los hechos relativos a la misma, sus efectos y las medidas correctivas adoptadas.

3.8. Supresión o devolución de datos

a) A elección del Responsable, una vez finalizada la prestación del Servicio, el Encargado suprimirá o devolverá todos los datos personales y eliminará las copias existentes, salvo que el Derecho de la Unión o del Estado miembro exija la conservación de los datos.

b) Los registros de auditoría anonimizados (sin datos personales identificativos) podrán conservarse con fines de cumplimiento normativo y seguridad.

c) Los registros de correos electrónicos enviados podrán conservarse el tiempo necesario para cumplir con obligaciones legales o contractuales de facturación y trazabilidad.

3.9. Puesta a disposición de información

Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor autorizado por este.

CLÁUSULA CUARTA — OBLIGACIONES DEL RESPONSABLE

El Responsable se compromete a:

a) Garantizar que dispone de base jurídica suficiente para el tratamiento de los datos personales comunicados al Encargado, incluido el tratamiento de datos de salud conforme al artículo 9 del RGPD.

b) Informar adecuadamente a los interesados (pacientes y profesionales sanitarios) sobre el tratamiento de sus datos personales, incluyendo la comunicación de datos al Encargado.

c) Obtener, cuando sea necesario, el consentimiento explícito de los pacientes para el tratamiento de sus datos de salud a través de la plataforma IOLX, o acreditar la concurrencia de otra base jurídica del artículo 9.2 del RGPD.

d) Proporcionar al Encargado instrucciones documentadas sobre el tratamiento de datos personales.

e) Velar por que los datos personales introducidos en la plataforma sean exactos y estén actualizados.

f) Supervisar el tratamiento realizado por el Encargado, incluida la realización de auditorías cuando lo considere oportuno.

g) No introducir en ningún caso datos directamente identificativos de los pacientes (nombres, apellidos, documento de identidad, fecha de nacimiento, dirección, número de teléfono ni cualquier otro dato que permita la identificación directa) en la plataforma IOLX. El Responsable utilizará exclusivamente identificadores seudonimizados opacos (códigos internos) que solo él pueda vincular a la identidad del paciente. El incumplimiento de esta obligación será responsabilidad exclusiva del Responsable.

h) Custodiar la tabla de correspondencia entre los identificadores seudonimizados y la identidad real de los pacientes de forma separada y segura, sin compartirla con el Encargado en ningún caso.

CLÁUSULA QUINTA — DURACIÓN Y RESOLUCIÓN

5.1. Duración

El presente ATD tendrá la misma duración que el contrato de prestación de servicios de la plataforma IOLX suscrito entre las Partes. En caso de no existir contrato independiente, el ATD estará vigente mientras el Responsable mantenga una cuenta activa en la plataforma.

5.2. Efectos de la resolución

A la resolución del presente ATD por cualquier causa, serán de aplicación las obligaciones establecidas en la cláusula 3.8 relativas a la supresión o devolución de datos.

CLÁUSULA SEXTA — RESPONSABILIDAD

6.1. Responsabilidad del Encargado

El Encargado responderá de los daños y perjuicios causados por el tratamiento cuando haya actuado al margen o en contra de las instrucciones del Responsable o de las obligaciones del RGPD específicamente dirigidas a los encargados del tratamiento.

6.2. Responsabilidad del Responsable

El Responsable será responsable del cumplimiento de las obligaciones que le corresponden conforme al RGPD, incluidas la licitud del tratamiento, la información a los interesados y la atención a sus derechos.

CLÁUSULA SÉPTIMA — LEGISLACIÓN APLICABLE Y JURISDICCIÓN

El presente ATD se regirá e interpretará conforme al Derecho español y al Derecho de la Unión Europea en materia de protección de datos personales.

Para la resolución de cualquier controversia derivada del presente ATD, las Partes se someten a los Juzgados y Tribunales de [CIUDAD], con renuncia expresa a cualquier otro fuero que pudiera corresponderles.

CLÁUSULA OCTAVA — DISPOSICIONES ADICIONALES

8.1. Datos especialmente protegidos

Las Partes reconocen expresamente que el tratamiento objeto del presente ATD incluye datos relativos a la salud (categorías especiales de datos conforme al artículo 9 del RGPD), lo que exige la aplicación de medidas de seguridad reforzadas y el cumplimiento de las obligaciones adicionales previstas en el RGPD y la LOPDGDD para esta categoría de datos.

8.2. Evaluación de impacto

Dado que el tratamiento implica datos de salud, el Responsable deberá valorar la necesidad de realizar una Evaluación de Impacto en la Protección de Datos (EIPD) conforme al artículo 35 del RGPD, para lo cual el Encargado prestará su colaboración.

8.3. Delegado de Protección de Datos

En caso de que alguna de las Partes haya designado un Delegado de Protección de Datos (DPD), comunicará sus datos de contacto a la otra Parte en el plazo de 10 días hábiles desde la firma del presente ATD.

8.4. Modificaciones

a) Cualquier modificación del presente ATD será comunicada al Responsable a través de la plataforma IOLX o por correo electrónico con un preaviso mínimo de 30 días naturales antes de su entrada en vigor.

b) El uso continuado de la plataforma tras la entrada en vigor de la versión modificada implicará la aceptación de las nuevas condiciones. En caso de modificaciones sustanciales, se requerirá la aceptación expresa del Responsable mediante el mecanismo descrito en la cláusula novena.

c) El Responsable que no acepte las modificaciones podrá resolver el contrato y solicitar la supresión o devolución de sus datos conforme a la cláusula 3.8.

8.5. Versiones anteriores

El Encargado mantendrá un archivo accesible de las versiones anteriores del presente ATD, con indicación de sus fechas de vigencia, para consulta del Responsable.

CLÁUSULA NOVENA — ACEPTACIÓN ELECTRÓNICA

9.1. Forma de aceptación

De conformidad con el artículo 28(9) del RGPD, que admite la formalización del contrato de encargado del tratamiento "por escrito, inclusive en formato electrónico", y con lo dispuesto en la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI), el presente ATD se formaliza mediante aceptación electrónica por parte del Responsable a través de la plataforma IOLX.

9.2. Mecanismo de aceptación

La aceptación se realizará mediante la activación expresa de una casilla de verificación (no premarcada) durante el proceso de registro en la plataforma, con el siguiente texto o similar:

"He leído y acepto el [Acuerdo de Tratamiento de Datos Personales](enlace al texto completo) en su versión vigente."

El Responsable deberá tener acceso al texto íntegro del presente ATD antes de proceder a la aceptación.

9.3. Registro de la aceptación

El Encargado registrará y conservará como prueba de la aceptación los siguientes datos:

• Identificador del usuario que acepta.
• Dirección de correo electrónico del usuario.
• Fecha y hora de la aceptación (marca temporal UTC).
• Dirección IP desde la que se realizó la aceptación.
• Versión del ATD aceptada (identificada por fecha de publicación o código de versión).
• Método de aceptación (registro inicial o re-aceptación por modificación).

9.4. Validez jurídica

La aceptación electrónica realizada conforme al mecanismo descrito en esta cláusula tendrá la misma validez y eficacia jurídica que la firma manuscrita del presente ATD, de conformidad con el artículo 23 de la LSSI y el artículo 28(9) del RGPD.

9.5. Re-aceptación por modificación

En caso de modificación sustancial del presente ATD, el Encargado requerirá al Responsable la aceptación expresa de la nueva versión antes de que pueda continuar utilizando la plataforma. La falta de aceptación en un plazo de 30 días naturales desde la notificación facultará al Encargado para suspender el acceso a la plataforma hasta que se produzca la aceptación o se proceda a la resolución del contrato.

ANEXO I — DESCRIPCIÓN DEL TRATAMIENTO

ANEXO II — SUBENCARGADOS AUTORIZADOS

ANEXO III — MEDIDAS DE SEGURIDAD TÉCNICAS Y ORGANIZATIVAS

Medidas técnicas

1. Seudonimización: Los datos clínicos de pacientes se almacenan exclusivamente con identificadores opacos no vinculables sin información adicional en posesión exclusiva del Responsable. No se recogen datos directamente identificativos de pacientes.
2. Autenticación y autorización: JWT con firma RS256 verificada contra JWKS del proveedor OIDC. Control de acceso basado en roles (RBAC).
3. Cifrado: TLS/HTTPS para datos en tránsito. Cifrado a nivel de almacenamiento para datos en reposo.
4. Gestión de tokens: Tokens de verificación de correo de un solo uso con caducidad de 24 horas. Tokens criptográficamente seguros (32 bytes, URL-safe).
5. Minimización de datos en caché: Caché en memoria con TTL de 15 minutos, purga automática al cierre de sesión o eliminación de cuenta.
6. Protección contra ataques: Limitación de tasa en endpoints sensibles. Análisis XML seguro (protección XXE).
7. Trazabilidad: Registro de auditoría de todas las acciones sensibles con dirección IP, identificador de usuario y marca temporal.
8. Eliminación segura: Borrado en cascada de todos los datos personales al eliminar una cuenta. Anonimización de registros de auditoría.
9. Observabilidad: Trazabilidad distribuida (OpenTelemetry) para detección de incidentes en entornos de producción.

Medidas organizativas

1. Personal con acceso a datos sujeto a acuerdos de confidencialidad.
2. Principio de mínimo privilegio en el acceso a sistemas y datos.
3. Procedimientos documentados de respuesta a incidentes de seguridad.
4. Revisiones periódicas de accesos y permisos.
5. Formación del personal en materia de protección de datos.