Contrato de encargado del tratamiento
Versión 2.0 · actualizado el 28 de octubre de 2026En resumen: los datos de vuestros pacientes son vuestros. Vuestra clínica es la responsable del tratamiento y LuxClinic AI la encargada: solo los tratamos para prestaros el servicio, siguiendo vuestras instrucciones, y os los devolvemos o los borramos cuando termine.
1. Partes y objeto
Este contrato cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Lo celebran la clínica que acepta las condiciones del servicio (responsable) y Karen Tatiana Lara Gómez, con nombre comercial LuxClinic AI, NIF 50325642D(encargada). Forma parte de las condiciones del servicio.
Objeto: tratar los datos de los pacientes de la clínica para prestar el servicio: atender sus consultas por WhatsApp con el agente de IA, gestionar sus citas, enviar recordatorios y los mensajes que la clínica active, avisar a la clínica y mostrarle la información en el panel.
2. Duración
Mientras la clínica tenga el servicio (prueba gratuita o suscripción). Las obligaciones de confidencialidad siguen vigentes después.
3. Datos y personas afectadas
| Tipo de dato | Ejemplos |
|---|---|
| Identificación y contacto | Nombre, teléfono de WhatsApp y nombre del perfil de WhatsApp |
| Agenda | Servicio reservado, fecha y hora, profesional, estado de la cita |
| Conversación | Mensajes del paciente y respuestas del agente; los audios se transcriben |
| Preferencias de comunicación | Bajas y altas de mensajes comerciales (BAJA / ALTA) |
| Pagos de depósito (solo con el extra anti no-show) | Estado del depósito. Los datos de pago los trata el proveedor de pagos |
Personas afectadas: pacientes y personas que contactan con la clínica por WhatsApp, y el personal de la clínica que figura en el panel.
El servicio no está pensado para tratar historiales clínicos y el agente no los pide.
Aun así, el nombre del tratamiento reservado, lo que el paciente cuente por iniciativa propia o los mensajes de cuidados después de un tratamiento (si la clínica los activa) pueden revelar información relacionada con su salud. Si ocurre, esos datos se tratan con las mismas medidas de este contrato y solo para la finalidad indicada, y la clínica debe contar con una base que lo permita.
4. Instrucciones documentadas
LuxClinic AI trata los datos solo siguiendo las instrucciones de la clínica, que son este contrato, las condiciones del servicio y lo que la clínica configura en el panel (servicios, horarios, mensajes que activa, interruptores). Si una instrucción nos parece contraria a la normativa, avisaremos a la clínica.
No usamos los datos de los pacientes para fines propios, no los vendemos ni los usamos para entrenar modelos de inteligencia artificial propios o de terceros.
5. Confidencialidad
Las personas autorizadas para acceder a los datos se comprometen por escrito a mantenerlos en secreto, también después de dejar de trabajar con nosotros. Solo acceden cuando hace falta para prestar el servicio o dar soporte.
6. Medidas de seguridad
- Aislamiento entre clínicas: cada dato lleva el identificador de su clínica y la base de datos aplica seguridad por filas (RLS), de modo que un usuario solo puede leer los datos de las clínicas a las que pertenece.
- Cifrado: todas las conexiones van cifradas (HTTPS/TLS) en el panel, la base de datos y las APIs. La base de datos se aloja en un proveedor que cifra los datos almacenados.
- Accesos: panel con usuario y contraseña, roles de propietario y personal, y las acciones sensibles (como conectar WhatsApp) reservadas al propietario. Las claves de servicio solo están en el servidor y se cambian si se exponen.
- Trazabilidad: registro de quién crea, cambia o cancela cada cita.
- Envíos controlados: mensajes espaciados y en horario, y baja de mensajes comerciales en cualquier momento.
7. Subencargados
La clínica autoriza de forma general a estos subencargados. Avisaremos de cualquier cambio con 15 días de antelación y la clínica podrá oponerse por motivos razonables. Les exigimos las mismas obligaciones de este contrato.
| Proveedor | Para qué | Ubicación y garantías |
|---|---|---|
| Supabase | Base de datos, archivos y autenticación | Unión Europea (París); contrato de encargo |
| n8n (autoalojado) | Automatizaciones: agente, recordatorios, avisos | Servidor propio: Hostinger (VPS en centro de datos de Fráncfort, Alemania, UE) |
| Evolution API (autoalojado) | Conexión con el WhatsApp de la clínica | Servidor propio: Hostinger (VPS en centro de datos de Fráncfort, Alemania, UE) |
| Proveedores de IA (OpenAI) | Modelo de lenguaje del agente y transcripción de audios (reciben el texto de los mensajes) | EE. UU.; cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU. |
| Stripe | Pagos de depósito del extra anti no-show (sin datos de conversación) | Unión Europea (Stripe Payments Europe); contrato de encargo |
| Google (Workspace) | Correo de avisos a la clínica | Unión Europea (Google Ireland); contrato de encargo |
n8n y Evolution API son programas que instalamos en nuestro propio servidor: los datos no pasan por las empresas que los desarrollan. WhatsApp (Meta) es el canal que la clínica elige para hablar con sus pacientes. Cuando un subencargado esté fuera del Espacio Económico Europeo, exigimos las garantías del capítulo V del RGPD.
8. Ayuda a la clínica
- Derechos de los pacientes: si un paciente nos pide ejercer un derecho (acceso, rectificación, supresión, oposición, limitación o portabilidad), se lo pasaremos a la clínica en un máximo de 5 días hábiles y no responderemos por nuestra cuenta. Le daremos a la clínica los datos que necesite para contestar.
- Brechas de seguridad: avisaremos a la clínica en un máximo de 48 horas desde que conozcamos una brecha que afecte a sus datos, con lo que sepamos: qué ha pasado, qué datos y cuántos pacientes se ven afectados, consecuencias probables y medidas tomadas. La clínica decide si notifica a la Agencia Española de Protección de Datos y a los pacientes; le ayudaremos a hacerlo.
- Evaluaciones de impacto: le daremos la información que necesite si tiene que hacer una.
- Demostrar el cumplimiento: pondremos a su disposición la información necesaria y permitiremos auditorías razonables, con preaviso de 30 días y como máximo una al año salvo tras un incidente.
9. Al terminar el servicio
Cuando termine el servicio, si la clínica lo pide, le devolveremos sus citas y los datos de sus pacientes en un formato estándar. Después los suprimiremos en un máximo de 30 días, salvo lo que una ley obligue a conservar, que quedará bloqueado. Las copias de seguridad se eliminan en su ciclo normal de rotación.
10. Obligaciones de la clínica
- Tener una base jurídica para cada tratamiento y responder de su legalidad.
- Informar a sus pacientes, también de que les atiende un asistente automático de IA, y recoger su consentimiento cuando haga falta, como explica el documento de uso de WhatsApp.
- Valorar si necesita una evaluación de impacto o un delegado de protección de datos.
11. Responsabilidad
Cada parte responde de los daños que cause por incumplir este contrato o la normativa, según el artículo 82 del RGPD. Si LuxClinic AI trata los datos para fines propios o en contra de las instrucciones de la clínica, se le considerará responsable de ese tratamiento.