Acuerdo de encargo de tratamiento

Responsable del tratamiento: el cliente que contrata los servicios (en adelante, «el Responsable»), normalmente una clínica o negocio de servicios.

Encargado del tratamiento: ONE CLICK MARKETING SOLUTIONS, S.L., NIF B24766982, domicilio en Camino de la Huerta, 143, Puerta A, 28055 Madrid, España, correo info@oneclick-marketing.com (en adelante, «el Encargado»).

El Encargado trata los datos únicamente por cuenta del Responsable y siguiendo sus instrucciones documentadas. No decide sobre los fines ni los medios esenciales del tratamiento. Si el Encargado determinara por su cuenta los fines, sería considerado responsable respecto de ese tratamiento concreto.

El Encargado presta al Responsable la plataforma 1Click Connect, que comprende: atención automatizada de conversaciones por WhatsApp mediante un asistente de inteligencia artificial, página pública de reservas, gestión de agenda y profesionales, ficha de cliente o paciente, envío de recordatorios y seguimientos, gestión de bonos y facturación, y sincronización opcional con calendarios externos.

El tratamiento consiste en la recogida, registro, estructuración, conservación, consulta, comunicación por transmisión, limitación y supresión de los datos, con la única finalidad de prestar dichos servicios.

El encargo se mantiene mientras esté vigente el contrato de servicios. A su finalización se aplica lo previsto en la cláusula 11.

Interesados: pacientes o clientes finales del Responsable, personas que contactan por sus canales, y personal del Responsable con acceso a la plataforma.

Datos tratados:

• Identificativos y de contacto: nombre, apellidos, teléfono, correo electrónico.
• Datos de la cita: servicio, profesional, fecha, hora, sala, asistencia y estado.
• Contenido de las conversaciones mantenidas por WhatsApp u otros canales.
• Notas, documentos e historial que el Responsable o el interesado incorporen.
• Datos económicos y de facturación, incluidos bonos y consumos.
• Registros de acceso y trazabilidad de consultas a la ficha del interesado.

El Encargado se obliga a:

• Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, e informarle de inmediato si a su juicio una instrucción infringe la normativa de protección de datos.
• No comunicar los datos a terceros ni utilizarlos para fines propios, incluida la mejora o el entrenamiento de modelos de inteligencia artificial.
• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad, con carácter indefinido.
• Aplicar las medidas de seguridad del artículo 32 del RGPD (cláusula 7).
• Respetar el régimen de subencargados de la cláusula 6, y no incorporar ninguno sin cumplirlo.
• Asistir al Responsable en la atención de los derechos de los interesados (cláusula 8) y en el cumplimiento de sus obligaciones de seguridad, notificación de brechas, evaluaciones de impacto y consultas previas.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías (cláusula 10).
• Mantener un registro de las actividades de tratamiento realizadas por cuenta del Responsable.
• Suprimir o devolver los datos al finalizar el encargo (cláusula 11).

El Responsable autoriza de forma general al Encargado a recurrir a otros encargados para la prestación del servicio. La lista actualizada, con su finalidad, ubicación y garantías, está publicada y accesible de forma permanente en proveedores y subencargados.

El Encargado informará al Responsable de cualquier alta o sustitución con una antelación mínima de treinta (30) días, plazo durante el cual el Responsable podrá oponerse por motivos razonables. Si la oposición impide prestar el servicio, cualquiera de las partes podrá resolver el contrato sin penalización.

El Encargado impone a cada subencargado, por contrato, las mismas obligaciones que asume en este acuerdo, y responde plenamente ante el Responsable de su cumplimiento.

Atendiendo al estado de la técnica y al riesgo del tratamiento, el Encargado aplica:

• Cifrado de las comunicaciones en tránsito (TLS) y de los datos en reposo.
• Aislamiento lógico de la información de cada Responsable mediante políticas de seguridad a nivel de fila, de modo que ningún cliente pueda acceder a datos de otro.
• Control de acceso por roles y principio de mínimo privilegio.
• Registro de accesos a las fichas de los interesados, consultable por el Responsable.
• Copias de seguridad periódicas y procedimientos de restauración.
• Seudonimización o anonimización cuando la finalidad lo permite.
• Revisión periódica de permisos y de la eficacia de las medidas.

Corresponde al Responsable atender el ejercicio de derechos. Si un interesado se dirige al Encargado, este le remitirá al Responsable y se lo comunicará sin dilación, aportando la información recibida.

El Encargado asiste al Responsable poniendo a su disposición, en la propia plataforma, funcionalidades de acceso, rectificación, exportación de los datos del interesado y solicitud de supresión, así como el registro de accesos.

El Encargado notificará al Responsable, sin dilación indebida y en todo caso dentro de las 24 horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos, describiendo su naturaleza, las categorías y número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.

La notificación a la autoridad de control y, en su caso, a los interesados, corresponde al Responsable, con la colaboración del Encargado.

El Encargado pondrá a disposición del Responsable la información razonablemente necesaria para acreditar el cumplimiento de este acuerdo. El Responsable podrá realizar auditorías, por sí o mediante un tercero independiente sujeto a confidencialidad, con un preaviso de treinta (30) días, una vez al año salvo que exista un incidente que lo justifique, en horario laboral y sin interferir en la operativa. Los costes correrán a cargo del Responsable, salvo que la auditoría revele un incumplimiento relevante del Encargado.

A la finalización del encargo, y a elección del Responsable manifestada por escrito, el Encargado devolverá los datos en un formato estructurado y de uso común o los suprimirá. El Responsable dispone de treinta (30) días desde la finalización para solicitar la exportación.

Transcurrido ese plazo, el Encargado suprimirá los datos, incluidas las copias de seguridad conforme a su ciclo de rotación. Podrá conservar los datos que resulten estrictamente necesarios para atender responsabilidades legales, debidamente bloqueados, durante el plazo de prescripción correspondiente.

Los datos del Responsable se almacenan en servidores situados en Irlanda (Unión Europea), dentro del Espacio Económico Europeo, por lo que su alojamiento no constituye una transferencia internacional.

Determinados subencargados que intervienen en la prestación del servicio (mensajería, correo transaccional y modelos de inteligencia artificial) están establecidos en Estados Unidos. En esos casos la transferencia se ampara en una decisión de adecuación o en Cláusulas Contractuales Tipo, con las medidas complementarias que procedan, según se detalla en la página de proveedores y subencargados. El Encargado no realizará ninguna transferencia distinta sin instrucción o autorización previa del Responsable.

Este acuerdo se entiende aceptado por el Responsable con la firma del contrato de servicios o con el uso de la plataforma. Cualquiera de las partes puede solicitar su formalización en documento separado y firmado, a cuyo efecto basta con escribir a info@oneclick-marketing.com.