Acuerdo de encargo del tratamiento de datos
Versión 2026-09-1 · Vigente desde el 24 de septiembre de 2026
1. Objeto y alcance
Este acuerdo regula el encargo del tratamiento de datos personales entre el centro de fisioterapia que acepta este documento (el «Responsable») y [TITULAR DE LA PLATAFORMA], con NIF [NIF] y domicilio en [DIRECCIÓN], en adelante el «Encargado», conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD). El Encargado pone a disposición del Responsable el software r3physio.app (agenda, reservas online, asistente conversacional y seguimiento de pacientes), lo que implica el tratamiento de datos personales de pacientes y de la plantilla del centro por cuenta del Responsable.
2. Obligaciones del Encargado
El Encargado tratará los datos personales únicamente siguiendo las instrucciones documentadas del Responsable —incluidas las que este acuerdo y la configuración del servicio contemplan—, salvo que deba hacerlo por imperativo legal. Garantiza la confidencialidad y se asegura de que las personas autorizadas para tratar los datos se hayan comprometido expresamente a respetarla. No utilizará los datos para ninguna finalidad propia ni los cederá a terceros fuera de lo previsto en la cláusula 5.
3. Descripción del tratamiento
Titulares: pacientes del centro y su personal. Categorías de datos: identificativos y de contacto (nombre, email, teléfono), datos de salud que el centro registre (motivo de consulta, síntomas, historia clínica, planes de ejercicio) y datos de agenda. Finalidad: prestación del servicio contratado (gestión de citas, comunicaciones con pacientes, asistencia de organización mediante el asistente conversacional). Duración: mientras dure la relación comercial y los plazos de conservación descritos en el aviso de privacidad.
4. Derechos de los titulares y asistencia
El Encargado asistirá al Responsable en el ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, poniendo a su disposición las herramientas de la plataforma (exportación y borrado de fichas de paciente, registro de auditoría de accesos). Comunicará sin dilación indebida al Responsable cualquier solicitud de titular o autoridad de control que reciba directamente.
5. Subencargados
El Responsable autoriza al Encargado a recurrir a los siguientes subencargados: Mistral AI SAS (Francia/UE, procesamiento de mensajes del asistente conversacional, sin retención para entrenamiento); Zoho Mail (UE, envío de emails transaccionales); Dodo Payments (procesamiento de pagos); proveedor de alojamiento VPS (UE); y Telegram Messenger LLP si el centro conecta su propio bot (las conversaciones viven además en los servidores de Telegram). El Encargado notificará al Responsable cualquier cambio de subencargado y le concederá un plazo razonable para oponerse, conforme al art. 28.2 y 28.4 RGPD.
6. Medidas técnicas y organizativas
El Encargado aplica como mínimo: cifrado en tránsito (HTTPS/TLS) y en reposo para copias de seguridad (cifrado AES-256-GCM con passphrase fuera del repositorio); autenticación sin contraseñas (magic link) y control de acceso por roles con registro de auditoría; minimización (los datos de historia clínica solo son visibles para fisios y propietarios); retención limitada (borrado programado de conversaciones inactivas y registros de auditoría caducados); y aislamiento por centro (cada centro solo accede a sus propios datos).
7. Brechas de seguridad
Ante una violación de seguridad de datos personales, el Encargado notificará al Responsable sin dilación indebida tras tener conocimiento de ella, con la información disponible sobre su naturaleza, alcance y medidas adoptadas, para que el Responsable pueda cumplir su obligación de notificación a la autoridad de control y, si procede, a los titulares (art. 33 y 34 RGPD).
8. Transferencias internacionales
Los datos se alojan en la Unión Europea. El procesamiento del asistente conversacional se realiza en la UE (Mistral AI, Francia). Cuando el centro conecta su bot de Telegram, los mensajes se procesan también en la infraestructura de Telegram, fuera de la UE, bajo las garantías descritas en su política de privacidad; el centro decide libremente activar o no ese canal.
9. Plazo y fin del encargo
Al finalizar la relación comercial, a petición del Responsable y salvo obligación legal de conservación, el Encargado suprimirá o devolverá los datos personales, incluidas las copias existentes, y certificará la supresión cuando se requiera. Los datos de pacientes pueden exportarse en todo momento desde el panel.
10. Auditoría
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo y contribuirá a las auditorías que el Responsable considere oportunas, incluido el registro de auditoría incorporado a la plataforma.
11. Responsabilidad
Cada parte responde de los daños causados por el incumplimiento de este acuerdo conforme al RGPD y a la legislación aplicable. El Encargado responde frente al Responsable cuando, incumpliendo las obligaciones del art. 28, determine las finalidades y los medios del tratamiento.
12. Aceptación y versión
Este acuerdo se acepta electrónicamente al crear el centro o al aceptarlo expresamente desde el panel. La aceptación queda registrada con fecha, versión del documento e identidad del aceptante. La versión vigente en cada momento es la publicada en esta página; los cambios sustanciales se notificarán por email antes de su entrada en vigor y requerirán una nueva aceptación.