Acuerdo de Encargado de Tratamiento

El Cliente —la institución o el profesional de la salud que contrata la Plataforma— es el responsable del tratamiento: decide qué datos se cargan, con qué finalidad y por cuánto tiempo, y es quien responde frente a sus pacientes.

Gonzalo Torres Grau, CUIT 23-33108373-9 (el "Prestador") es el encargado del tratamiento: trata esos datos únicamente por cuenta del Cliente y conforme a sus instrucciones, en los términos del artículo 25 de la Ley N.º 25.326 y su decreto reglamentario N.º 1558/2001.

El Prestador trata los datos con la única finalidad de prestar el servicio contratado: agenda y turnos, ficha de pacientes, historia clínica digital, facturación, recordatorios y las funciones asistidas por inteligencia artificial que el Cliente habilite.

Las categorías de titulares son los pacientes del Cliente y su equipo de trabajo. Las categorías de datos incluyen identificatorios, de contacto, administrativos y de cobertura, y datos sensibles de salud en los términos del art. 2 de la Ley 25.326.

El acuerdo rige mientras el Cliente use la Plataforma y hasta que se completen la devolución o la supresión de los datos previstas en la cláusula 8.

• Tratar los datos únicamente conforme a las instrucciones del Cliente y para prestar el servicio.
• No cederlos a terceros ajenos a la prestación ni usarlos con fines propios, publicitarios o de entrenamiento de modelos de inteligencia artificial.
• Guardar confidencialidad, que subsiste aun finalizada la relación (art. 10 de la Ley 25.326), y obligar a lo mismo a todo su personal con acceso.
• Aplicar las medidas de seguridad de la cláusula 5.
• Asistir al Cliente para atender los derechos de acceso, rectificación, supresión y oposición de los titulares (arts. 14 a 16).
• Notificar al Cliente todo incidente de seguridad que afecte sus datos, sin demora indebida desde que toma conocimiento, con la información disponible para que pueda evaluarlo.
• Poner a disposición del Cliente la información necesaria para acreditar el cumplimiento de este acuerdo.

• Contar con base legal y, cuando corresponda, con el consentimiento del paciente para el tratamiento de sus datos de salud.
• Cargar únicamente los datos necesarios para la finalidad asistencial.
• Atender los derechos de sus pacientes y mantener actualizados los permisos de su equipo, asignando los roles según el principio de menor privilegio.
• Inscribir su propia base de datos ante la Agencia de Acceso a la Información Pública, conforme al art. 21 de la Ley 25.326 y la Disposición AAIP N.º 2/2005. Esa inscripción es del Cliente como responsable y no la suple el Prestador.
• Conservar la historia clínica por los plazos que le exige la normativa sanitaria —entre ella la Ley 26.529— que es una obligación propia e indelegable (cláusula 9 de los Términos).

El Prestador aplica, como mínimo:

• Cifrado del contenido clínico en reposo: diagnósticos, evoluciones, antecedentes, indicaciones y notas se guardan cifrados en la base de datos.
• Comunicaciones cifradas con TLS en toda la Plataforma.
• Control de acceso por roles y por módulo, con política restrictiva en los módulos sensibles.
• Acceso a la historia clínica sujeto a la autorización explícita del propio paciente, revocable por él en cualquier momento.
• Registro de auditoría de cada acceso a la historia clínica, consultable por el paciente desde su cuenta y conservado diez años.
• Copias de respaldo cifradas y ensayos de restauración.
• Acceso del personal del Prestador restringido y auditado. Las funciones de soporte operan en modo de solo lectura y excluyen la historia clínica.

El Cliente autoriza al Prestador a servirse de los subprocesadores publicados en agendapromed.com/subprocesadores, listado que se mantiene actualizado y que indica, para cada uno, su país y su finalidad. Actualmente 8 de ellos pueden tratar datos de salud.

El Prestador impone a cada subprocesador obligaciones equivalentes a las de este acuerdo y responde por su actuación. Ante la incorporación de uno nuevo que trate datos de salud, se notificará al Cliente antes de que comience a operar y se reemitirá este acuerdo para su aceptación.

Parte de los subprocesadores aloja información fuera de la República Argentina. El Cliente presta conformidad a esa transferencia en los términos del artículo 12 de la Ley 25.326, entendiendo que se realiza con proveedores que ofrecen niveles adecuados de protección y bajo obligación contractual de confidencialidad y seguridad.

Producida la baja, el Cliente dispone de 30 días corridos para exportar su información, incluidas las historias clínicas de los pacientes que hubieran autorizado el acceso a su empresa. Vencido ese plazo, y previo aviso al correo registrado, los datos de gestión se eliminan de forma definitiva.

Se exceptúan los datos que el Prestador deba conservar por obligación legal —entre ellos la documentación fiscal— y las copias de respaldo, que se sobrescriben en el ciclo normal de rotación.

La historia clínica pertenece al paciente: no se elimina junto con los datos de gestión de la empresa y el paciente conserva el acceso desde su propia cuenta.

Cada parte responde por el incumplimiento de sus propias obligaciones. Las limitaciones de responsabilidad de la cláusula 11 de los Términos se aplican a este acuerdo, sin alcanzar al dolo, a la culpa grave ni a los derechos irrenunciables del Cliente consumidor.

Este acuerdo se rige por las leyes de la República Argentina. Su aceptación se registra con su versión, fecha, dirección IP y la identidad de quien la otorga, a los fines de prueba.

Consultas sobre este acuerdo: agendapromed@gmail.com.