Acuerdo de Encargo de Tratamiento

Acuerdo de Encargo de Tratamiento (DPA) — versión 2026-09-09. Forma parte de los Términos de Servicio de TrazaLab.

Este acuerdo se celebra entre el cliente profesional que crea una cuenta TrazaLab (el Responsable) y TrazaLab, operando bajo la marca TrazaLab (el Encargado). Contacto: [email protected] · [email protected].

1. Objeto y duración

El Encargado trata datos personales por cuenta del Responsable para prestar la plataforma SaaS de coordinación de casos clínicos entre clínicas y laboratorios dentales (órdenes, Rx digital, archivos, TrazaChat y funciones asociadas). La duración coincide con la cuenta activa del Responsable y las obligaciones de conservación legal aplicables.

2. Naturaleza y finalidad

Tratamiento electrónico de datos de cuenta y de datos clínicos que el Responsable u usuarios autorizados cargan o generan en la plataforma, con la finalidad de operar el Servicio según las instrucciones documentadas del Responsable (uso de la plataforma y configuración de su cuenta).

3. Tipos de datos y categorías de interesados

Datos de cuenta (nombre, email, rol, organización). Datos clínicos que el Responsable decida subir (p. ej. fotografías, radiografías/CBCT, STL, Rx, notas, audio). Metadatos de uso (accesos, marcas de tiempo). Interesados: profesionales usuarios; pacientes u otras personas cuyos datos consten en archivos o casos cargados por el Responsable.

4. Obligaciones del Encargado (art. 28.3 RGPD)

1. Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, salvo obligación legal de la UE o de un Estado miembro.
2. Garantizar que las personas autorizadas se han comprometido a confidencialidad.
3. Aplicar medidas técnicas y organizativas adecuadas conforme al art. 32 RGPD, incluyendo cifrado en tránsito (TLS) y en reposo (AES-256 GCM en Cloudflare R2), control de acceso por rol y registro de auditoría, según se describe en la Política de Privacidad.
4. No contratar otro encargado sin autorización previa general o específica del Responsable. Se concede autorización general a los subencargados listados en el Anexo A; TrazaLab informará de cambios materiales con antelación razonable para que el Responsable pueda oponerse.
5. Asistir al Responsable, en la medida de lo posible, en la atención de derechos de los interesados (Capítulo III RGPD).
6. Asistir al Responsable respecto de los arts. 32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento y la información disponible.
7. Al terminar el Servicio, a elección del Responsable y cuando sea factible, devolver o suprimir los datos personales y eliminar copias, salvo retención exigida por ley.
8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento del art. 28 y contribuir a auditorías razonables acordadas por escrito.

5. Obligaciones del Responsable

El Responsable garantiza base jurídica para el tratamiento, obtiene los consentimientos o legitimaciones necesarios respecto de datos de pacientes, configura accesos de su equipo y no solicita al Encargado tratamientos incompatibles con la ley o con estos términos.

6. Transferencias internacionales

Cuando el tratamiento implique transferencias fuera del EEE, el Encargado aplicará las salvaguardas exigidas por el RGPD (p. ej. cláusulas contractuales tipo u otras medidas válidas) respecto de subencargados que lo requieran.

7. Violaciones de seguridad

El Encargado notificará al Responsable, sin dilación indebida y en todo caso en plazos compatibles con el art. 33 RGPD, las violaciones de seguridad de datos personales de las que tenga conocimiento, con la información disponible razonablemente.

8. Relación con otros documentos

Este DPA se incorpora a los Términos de Servicio. En materia de datos personales prevalece este DPA. Para PHI sujeta a HIPAA en EE. UU., aplica además el Acuerdo de Socio Comercial (BAA).

Anexo A — Subencargados

• Cloudflare, Inc. — almacenamiento de objetos (R2), CDN y infraestructura de red.
• Stripe, Inc. / afiliadas de Stripe — procesamiento de pagos y facturación (datos de facturación).

Lista actualizable; consulta también privacidad.html.