Anexo de encargo del tratamiento

Este anexo es el contrato por el que ICEN COGNIS SL guarda y trata en Mithox los datos de tus pacientes, por encargo tuyo. Forma parte de los Términos del Servicio: lo aceptas con ellos al darte de alta como profesional.

1. Quién es quién

Tú, el profesional o el centro que contrata Mithox, eres el responsable de los datos de tus pacientes: decides para qué se usan y cómo. ICEN COGNIS SL (CIF B75976746, Carretera General 32, 38370 La Matanza de Acentejo, Santa Cruz de Tenerife, España), que presta Mithox, es el encargado: trata esos datos sólo para darte el servicio y siguiendo tus instrucciones.

Para tu propia cuenta y tu cobro, el responsable es ICEN COGNIS SL. Eso se explica en la política de privacidad y no entra en este anexo.

2. Objeto y duración

ICEN COGNIS SL guarda, organiza y te muestra los datos de tus pacientes; se los muestra a ellos en su app; hace los cálculos que le pides y envía los avisos y mensajes que tú configuras. El anexo dura lo mismo que tu cuenta, más el tiempo que lleve devolver o suprimir los datos según el apartado 12.

3. Qué hacemos con los datos y para qué

Guardarlos, mostrarlos, calcular con ellos, enviarlos a quien tú indicas (por ejemplo, el plan al paciente), hacer copias de seguridad y, si tú activas esas funciones, usar inteligencia artificial o integraciones con otros servicios. La finalidad es que puedas atender a tus pacientes con Mithox. No usamos esos datos para nada más, salvo para la seguridad de la plataforma y para lo que cada paciente decide aportar por su cuenta (por ejemplo, el mapa de calor de la comunidad, del que ICEN COGNIS SL es responsable, como explica la política de privacidad).

4. Qué datos y de quién

• De quién: tus pacientes y, cuando los añades, sus familiares o tutores. Si un paciente es menor de edad, tú obtienes el permiso de su padre, madre o tutor antes de registrar sus datos de salud.
• Qué datos: de identificación y contacto; datos de salud (medidas, analíticas, historia de alimentación y entrenamiento, planes, sesiones, formularios, notas, fotos que te comparten, consultas grabadas con su permiso); datos de actividad que llegan de las integraciones que se activan (por ejemplo, Garmin, Polar, Whoop o Withings); citas, mensajes y archivos del chat; y los cobros que gestionas (los datos de la tarjeta los guarda Stripe, no Mithox).

5. Sólo con tus instrucciones

Tratamos los datos únicamente según tus instrucciones documentadas: lo que configuras y haces en la app y lo que dicen estos Términos y este anexo. Esto vale también si hay que enviar datos fuera de la Unión Europea. Si una instrucción tuya nos parece contraria a la ley, te lo decimos. Si una ley nos obligara a tratar algún dato por otro motivo, te lo decimos antes, salvo que esa misma ley lo prohíba.

6. Confidencialidad

Las personas de ICEN COGNIS SL que pueden llegar a los datos están obligadas a guardar secreto. Sólo acceden cuando hace falta para darte el servicio o para resolver una incidencia que tú nos pides atender.

7. Seguridad

Estas son las medidas que aplicamos hoy. Ninguna medida garantiza un riesgo cero, y por eso las revisamos con el tiempo.

• Las comunicaciones entre tu navegador o la app y nuestros servidores viajan con cifrado (HTTPS).
• Las contraseñas se guardan de forma irreversible: no se pueden leer, ni siquiera por nosotros.
• Cada petición comprueba quién eres y si los datos son tuyos. La sesión de un profesional y la de un paciente son distintas, y un paciente sólo llega a sus propios datos.
• Tienes a tu disposición la verificación en dos pasos para entrar a tu cuenta de profesional.
• Dejamos registro de las operaciones sensibles sobre los datos.
• Los registros técnicos del servidor ocultan contraseñas, claves y otros datos secretos.
• La base de datos y los servidores están en la Unión Europea (Frankfurt), y los archivos, en la Unión Europea.
• Las copias de seguridad de la base de datos las hace el proveedor que la aloja.

8. Proveedores que intervienen (subencargados)

Nos autorizas, de forma general, a usar los proveedores que figuran en el apartado 5 («Destinatarios») de la política de privacidad, que es la lista pública y actualizada. Si vamos a añadir o a cambiar un proveedor que trate datos de tus pacientes, te lo avisamos por correo con al menos 15 días de antelación y puedes oponerte durante ese plazo; si el cambio es urgente por motivos de seguridad, te avisamos en cuanto podamos. Si te opones por motivos de protección de datos, buscamos contigo una salida; si no la hay, puedes terminar el contrato y te devolvemos la parte no usada de lo que hayas pagado por adelantado. Cada proveedor que trata datos de tus pacientes lo hace con un contrato de encargo del tratamiento o con las condiciones de protección de datos del propio proveedor, que le obligan a unas garantías equivalentes; si lo pides, te decimos cuál.

9. Datos fuera de la Unión Europea

Algunos proveedores son de EE. UU. Enviamos datos fuera de la Unión Europea sólo con una de las garantías que exige el RGPD: una decisión de adecuación, que incluye el Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas, o las cláusulas contractuales tipo de la Comisión Europea. La política de privacidad explica las garantías que usamos en general y, para el almacenamiento de archivos, la de ese proveedor; si lo pides, te decimos cuál se aplica a cada proveedor y te damos copia.

10. Ayuda con los derechos de tus pacientes

Tus pacientes pueden pedirte ver, corregir, llevarse o borrar sus datos. La app te permite consultar, corregir, exportar y archivar los datos de cada paciente. Si un paciente tuyo nos escribe a nosotros para ejercer uno de esos derechos sobre lo que tú gestionas, te trasladamos su petición y no la contestamos en tu lugar.

11. Brechas de seguridad y evaluaciones de impacto

Si sufrimos una brecha de seguridad que afecte a datos de tus pacientes, te avisamos sin dilación indebida desde que la conocemos, con lo que sepamos en ese momento y sus consecuencias, para que puedas cumplir tu obligación de avisar a la autoridad de protección de datos en 72 horas. Si necesitas hacer una evaluación de impacto o una consulta previa a la autoridad, te damos la información que tengamos sobre cómo funciona Mithox.

12. Al terminar

Cuando termines, tienes dos cosas que pedirnos por escrito a ezequielgmartin@gmail.com, desde el correo de tu cuenta. La primera es una copia de tus datos y de los de tus pacientes, en un fichero que puedas abrir y reutilizar. La segunda es que borremos los datos de tus pacientes: los suprimimos, y lo que una ley nos obligue a conservar queda bloqueado y se usa sólo para cumplir esa ley. Pídenos primero la copia, porque después del borrado esos datos ya no existen. Las copias de seguridad dejan de existir cuando el proveedor las renueva; hasta entonces no se usan para nada que no sea restaurar el servicio tras un fallo.

Desde que nos pides cerrar tu cuenta tienes 30 días para descargarlo todo o pedirnos la copia. Pasado ese plazo suprimimos tu cuenta y los datos de tus pacientes, aunque no nos hayas pedido el borrado; sólo quedan bloqueadas las facturas, que la ley nos obliga a guardar.

13. Información y auditorías

Te damos la información necesaria para comprobar que cumplimos este anexo. Puedes pedirnos una auditoría razonable, con aviso previo, en horario laboral y sin acceso a los datos de otros profesionales; la hace quien tú elijas, siempre que guarde el secreto de lo que vea.

14. Registro de actividades

ICEN COGNIS SL lleva un registro de las actividades que hace por encargo de los profesionales, como exige el RGPD, y lo enseña a la autoridad de protección de datos si lo pide.

Dudas sobre este anexo: ezequielgmartin@gmail.com.