Contrato de encargo del tratamiento

Entena trata los datos solo para prestar el servicio contratado: leer el presupuesto que sube la Clínica, preparar la página del paciente, enviarla, registrar su interacción y mostrar a la Clínica el seguimiento.

Dura lo mismo que el servicio. Al terminar se aplica la cláusula 10 (devolución y supresión).

• Interesados: pacientes y potenciales pacientes de la Clínica.
• Datos identificativos y de contacto: nombre, DNI/NIE, teléfono, email, si figuran en el presupuesto o los introduce la Clínica.
• Categorías especiales: datos de salud (tratamientos, piezas, odontograma, notas e imágenes clínicas o de la sonrisa).
• Datos de interacción con el enlace del paciente y comunicaciones enviadas.

Entena trata los datos únicamente siguiendo las instrucciones documentadas de la Clínica, que son estos Términos y lo que la Clínica configura y hace en la plataforma. Si una instrucción le parece contraria a la normativa, Entena lo avisará de inmediato. Entena no usará los datos para fines propios ni los comunicará a terceros salvo obligación legal.

Las personas de Entena con acceso a los datos están sujetas a deber de confidencialidad, también tras dejar Entena. El acceso es nominal, mínimo y queda registrado.

Entena aplica, como mínimo, las medidas descritas en entena.es/legal/gdpr#medidas, entre ellas:

• Cifrado en tránsito, control de acceso con usuarios nominales, contraseñas con hash y sesiones de duración limitada.
• Registro de accesos a presupuestos y pacientes.
• Minimización de los datos enviados a proveedores de IA y ausencia de analítica de terceros en el panel y el enlace del paciente.
• Revisión periódica de las medidas y corrección de las vulnerabilidades detectadas.

La Clínica autoriza de forma general a Entena a recurrir a los subencargados listados abajo. Entena avisará a la Clínica con al menos 15 días de antelación de cualquier alta o cambio, y la Clínica podrá oponerse; si la oposición impide prestar el servicio, podrá resolver el contrato sin penalización. Entena impone a cada subencargado las mismas obligaciones de este contrato y responde de su cumplimiento.

• Railway Corporation — Alojamiento de la aplicación y de la base de datos. Datos: Todos los datos del servicio. Ubicación: EE. UU. (empresa); servidores en la región configurada por Entena.
• Cloudflare, Inc. (R2) — Almacenamiento de PDFs e imágenes subidas por la clínica. Datos: PDF del presupuesto, fotos e imágenes del caso. Ubicación: EE. UU. (empresa); red global.
• Resend, Inc. — Envío de emails transaccionales (presupuesto, recordatorios, avisos a la clínica). Datos: Email y nombre del paciente, enlace a su presupuesto. Ubicación: EE. UU..
• OpenAI, L.L.C. / OpenAI Ireland Ltd. — Lectura del presupuesto y redacción de explicaciones con IA. Datos: Texto o imagen del presupuesto (con DNI, teléfonos y emails tapados en el texto), tratamientos. Ubicación: EE. UU..
• Anthropic PBC / Anthropic Ireland Ltd. — Lectura del presupuesto y dictado con IA (alternativa). Datos: Igual que el anterior. Ubicación: EE. UU..
• Novita AI, Inc. — Lectura del presupuesto con IA (alternativa). Datos: Igual que el anterior. Ubicación: EE. UU..
• Groq, Inc. — Lectura del presupuesto con IA (alternativa). Datos: Igual que el anterior. Ubicación: EE. UU..

Solo con las garantías del Capítulo V del RGPD: decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. para proveedores adheridos) o cláusulas contractuales tipo de la Comisión Europea, con medidas adicionales cuando sean necesarias.

Si un paciente se dirige a Entena, Entena pasará la petición a la Clínica sin demora y en un máximo de 5 días hábiles, y la ayudará a responder (acceso, rectificación, supresión, oposición, limitación y portabilidad) con las herramientas de la plataforma. Entena también asistirá a la Clínica en la seguridad, las evaluaciones de impacto y las consultas previas (arts. 32 a 36 RGPD), teniendo en cuenta la información de que dispone.

Entena notificará a la Clínica cualquier brecha que afecte a sus datos sin dilación indebida y, como máximo, en 48 horas desde que tenga conocimiento, con la naturaleza de la brecha, las categorías y el número aproximado de interesados y registros, las consecuencias probables y las medidas adoptadas o propuestas. Corresponde a la Clínica notificar a la AEPD y, en su caso, a los pacientes.

Al terminar el servicio, la Clínica puede pedir en 30 días una exportación de sus datos. Después, Entena suprimirá los datos y archivos de la Clínica en un máximo de 30 días más, incluidas las copias, salvo que la ley obligue a conservarlos (en ese caso, bloqueados y solo para ese fin). Entena lo certificará por escrito si la Clínica lo pide.

Entena pondrá a disposición de la Clínica la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías, con aviso razonable, confidencialidad y sin acceso a datos de otras clínicas.

• Tener base legal para tratar y comunicar a Entena los datos de sus pacientes, e informarles del uso de Entena.
• Subir solo los datos necesarios y revisar lo que se envía al paciente, incluido el contenido generado con IA.
• Obtener el consentimiento por escrito del paciente antes de mostrar a otros sus fotos o su testimonio.
• Cumplir la normativa de comunicaciones comerciales y sanitaria en el seguimiento a pacientes.
• Dar de baja en la plataforma a los usuarios que dejen de trabajar en la Clínica.

Cada parte responde de sus propios incumplimientos. Si Entena trata los datos para fines propios o contra las instrucciones de la Clínica, será considerada responsable de ese tratamiento (art. 28.10 RGPD).