Contrato de encargado de tratamiento

Responsable del tratamiento: el profesional, centro, clínica, empresa o entidad que contrata APP-MIOFASE y determina los fines y medios del tratamiento de los datos de sus clientes, usuarios o deportistas, en adelante, el «Responsable».

Encargado del tratamiento: Miofase, que trata los datos por cuenta del Responsable para prestar el servicio de APP-MIOFASE, en adelante, el «Encargado».

Este documento es un modelo marco. La versión vinculante será la aceptada electrónicamente o firmada por las partes, con los datos identificativos y contractuales que correspondan en el momento de la contratación.

Un profesional puede ser Responsable de una cartera personal y, al mismo tiempo, actuar como persona autorizada por un centro respecto de otra cartera. APP-MIOFASE distingue ambas situaciones.

• Cartera del centro: el centro o entidad contratante es el Responsable. El profesional accede a los datos como persona autorizada conforme a los artículos 29 y 32.4 RGPD y al compromiso de confidencialidad aplicable.
• Cartera personal: el profesional es el Responsable de los datos de sus propios clientes y mantiene una relación de encargado de tratamiento independiente con Miofase.

La titularidad de cada ficha se determina al darla de alta, se conserva en la base de datos y no se modifica automáticamente por incorporarse a un equipo o abandonarlo. Las modificaciones de titularidad o reasignaciones deben responder a una actuación autorizada y quedan sujetas a trazabilidad.

El objeto del acuerdo es regular el acceso y tratamiento que Miofase realiza por cuenta del Responsable como consecuencia de la prestación de APP-MIOFASE, incluyendo las operaciones necesarias para gestionar clientes, valoraciones, planificación, sesiones, citas, cuestionarios, comunicaciones, biblioteca de ejercicios, documentación, seguimiento de actividad y funciones administrativas vinculadas al servicio.

Miofase no adquiere por el presente acuerdo la condición de responsable respecto de los fines profesionales que el Responsable determine sobre sus propios clientes.

El encargo permanecerá vigente mientras dure la relación de prestación del servicio o mientras Miofase deba tratar datos por cuenta del Responsable para completar las operaciones de cierre, devolución, migración, bloqueo o supresión previstas en este acuerdo y en la legislación aplicable.

• Naturaleza del tratamiento: recogida cuando corresponda, registro, estructuración, organización, conservación, consulta, modificación autorizada, comunicación interna, recuperación, exportación y supresión.
• Finalidad: permitir que el Responsable gestione sus servicios de ejercicio físico, entrenamiento, valoración, seguimiento y organización mediante APP-MIOFASE.
• Interesados: clientes, usuarios o deportistas del Responsable y, en su caso, personal autorizado, profesionales y coordinadores de su organización.
• Datos identificativos y de contacto: nombre, apellidos, correo, teléfono y otros datos necesarios de perfil.
• Datos deportivos y funcionales: valoraciones, sesiones, ejercicios, objetivos, cuestionarios, marcas, evolución y adherencia.
• Datos económicos de gestión: estado e información administrativa de pagos cuando la función se utilice.
• Categorías especiales: datos relativos a salud, patologías, lesiones, restricciones, medicación, antecedentes u otra información de salud cuando el Responsable la introduzca para la prestación segura y adecuada de su servicio.

Miofase tratará los datos únicamente siguiendo instrucciones documentadas del Responsable, incluidas las derivadas de la configuración funcional de la cuenta, las acciones realizadas por usuarios autorizados, el contrato principal y este DPA, salvo que el Derecho de la Unión o de los Estados miembros obligue al Encargado a realizar otro tratamiento.

Si Miofase considera que una instrucción infringe el RGPD u otra normativa aplicable en materia de protección de datos, informará al Responsable cuando legalmente pueda hacerlo y podrá suspender la ejecución de dicha instrucción hasta que se aclare o modifique.

El Responsable se obliga a:

• Disponer de una base jurídica válida para todos los datos que introduzca en APP-MIOFASE.
• Identificar y documentar la condición del artículo 9 RGPD aplicable cuando trate datos de salud.
• Facilitar la información de privacidad exigida a sus clientes conforme a los artículos 13 y 14 RGPD.
• Aplicar el principio de minimización, exactitud y limitación de la finalidad.
• Gestionar adecuadamente las autorizaciones, compromisos de confidencialidad y permisos de su personal.
• Custodiar las credenciales y utilizar las medidas de seguridad disponibles.
• Comunicar al Encargado sin demora cualquier incidente, acceso indebido, solicitud de derechos o circunstancia que requiera su colaboración.
• Realizar, cuando sea exigible, su propio registro de actividades, análisis de riesgos o evaluación de impacto.

Miofase se compromete a:

• Tratar los datos únicamente conforme a instrucciones documentadas del Responsable.
• No utilizar los datos para fines propios incompatibles con el encargo.
• Garantizar que las personas autorizadas para tratar datos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación equivalente.
• Aplicar medidas técnicas y organizativas apropiadas conforme al artículo 32 RGPD.
• Respetar las condiciones de subcontratación del artículo 28 RGPD.
• Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, en la atención del ejercicio de derechos.
• Asistir al Responsable en el cumplimiento de los artículos 32 a 36 RGPD cuando resulte aplicable, incluida la gestión de brechas y evaluaciones de impacto.
• Notificar al Responsable sin dilación indebida las violaciones de seguridad de los datos personales de las que tenga conocimiento.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 y permitir auditorías razonables conforme a este acuerdo.
• Suprimir o devolver los datos al finalizar el servicio en los términos previstos en este DPA.

El Responsable autoriza con carácter general al Encargado a recurrir a los proveedores necesarios para prestar APP-MIOFASE, siempre que queden sujetos a obligaciones de protección de datos sustancialmente equivalentes a las exigibles al Encargado. A fecha de esta versión, la documentación de la plataforma identifica los siguientes:

El Encargado informará al Responsable de los cambios previstos respecto de la incorporación o sustitución de subencargados cuando corresponda, permitiéndole formular objeciones razonadas en los términos de la relación contractual.

La base de datos principal de APP-MIOFASE está documentada en la Unión Europea, región de Irlanda. No obstante, algunos subencargados operan con infraestructuras globales o pueden tratar determinados datos desde terceros países.

Cuando exista una transferencia internacional sometida al Capítulo V RGPD, se utilizará un mecanismo válido, como decisión de adecuación, adhesión al EU-U.S. Data Privacy Framework cuando resulte aplicable o Cláusulas Contractuales Tipo aprobadas por la Comisión Europea, junto con medidas suplementarias cuando sean necesarias.

La función de IA con Anthropic envía un perfil clínico-funcional minimizado y sin identificadores directos. Aunque se eliminen identificadores, se mantendrán las garantías aplicables mientras la información siga pudiendo considerarse dato personal.

La arquitectura documentada de APP-MIOFASE incorpora, entre otras, las siguientes medidas:

• Cifrado de comunicaciones mediante HTTPS/TLS.
• Protección criptográfica de credenciales mediante el subsistema de autenticación.
• Seguridad a nivel de fila (RLS) para aislar datos entre responsables y carteras.
• Control de acceso por roles, validación de sesión en servidor y principio de mínimo privilegio.
• Limitación de peticiones y protección anti-bot frente a abuso automatizado.
• Cifrado de datos de salud a nivel de campo, con separación de claves por Responsable según el diseño implantado.
• Registro de accesos a fichas clínicas, con trazabilidad de quién accede, a qué ficha y cuándo.
• Segundo factor TOTP disponible para cuentas profesionales. Si una cuenta lo activa, la exigencia se valida también en la capa de acceso protegida; la activación todavía no es obligatoria para todas las cuentas profesionales.
• Registro de consentimientos y controles que impiden que el profesional consienta por su cliente cuando la aceptación corresponde al propio interesado.
• No almacenamiento de datos clínicos en el disco del navegador según la configuración documentada.
• Copias de seguridad del entorno de producción y monitorización de incidencias.
• Minimización de la información remitida a proveedores de inteligencia artificial.

El Responsable determinará qué personas de su organización pueden acceder a los datos. Miofase proporciona controles técnicos para limitar el acceso según roles, cartera y contexto organizativo.

Cuando un coordinador supervise una cartera del centro, su acceso se limitará al alcance habilitado. Las sustituciones temporales pueden configurarse con acceso de solo lectura, motivo y fecha de finalización. Las carteras personales de un profesional deben permanecer separadas de la cartera del centro salvo actuación autorizada que modifique legítimamente esa situación.

El Responsable se obliga a retirar permisos cuando una persona deje de necesitarlos y a exigir confidencialidad a sus usuarios autorizados.

El Responsable es el destinatario principal de las solicitudes de acceso, rectificación, supresión, oposición, limitación o portabilidad relativas a los datos de sus clientes. Si Miofase recibe directamente una solicitud relativa a datos que trata únicamente como encargado, la trasladará o informará al Responsable salvo que exista una instrucción o obligación distinta.

Miofase prestará asistencia razonable, teniendo en cuenta la naturaleza del tratamiento y la información disponible, para que el Responsable pueda responder dentro de los plazos legales.

Miofase notificará al Responsable, sin dilación indebida, cualquier violación de seguridad de los datos personales de la que tenga conocimiento. La notificación incluirá, en la medida en que la información esté disponible, la naturaleza del incidente, categorías y volumen aproximado de afectados y registros, consecuencias probables, medidas adoptadas o propuestas y un punto de contacto.

El Responsable conserva la obligación de evaluar y, cuando corresponda, notificar la brecha a la autoridad de control y a las personas afectadas conforme a los artículos 33 y 34 RGPD.

Miofase asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del Encargado, cuando deba realizar una evaluación de impacto relativa a la protección de datos o una consulta previa conforme a los artículos 35 y 36 RGPD.

La responsabilidad de determinar si una evaluación de impacto es obligatoria para el tratamiento profesional concreto corresponde al Responsable, sin perjuicio de las obligaciones propias de Miofase respecto de sus tratamientos como responsable.

Miofase pondrá a disposición del Responsable información razonablemente necesaria para demostrar el cumplimiento del artículo 28 RGPD. Las auditorías deberán coordinarse de buena fe, proteger la seguridad y confidencialidad de otros clientes y evitar accesos a secretos, infraestructura o datos de terceros que no sean necesarios para acreditar el cumplimiento.

Cuando sea suficiente, podrán utilizarse documentación técnica, informes, certificaciones o evidencias equivalentes antes de recurrir a una inspección directa de sistemas.

Finalizada la prestación del servicio, Miofase, a elección del Responsable y salvo obligación legal de conservación, devolverá o suprimirá los datos personales tratados por su cuenta y las copias existentes dentro de los procesos y plazos técnicos aplicables.

Cuando un profesional abandona un equipo, las fichas pertenecientes a la cartera del centro permanecen bajo la responsabilidad del centro y pueden reasignarse a otra persona autorizada. Las fichas de la cartera personal del profesional saliente no pasan automáticamente al centro. La plataforma podrá conservar registros mínimos de trazabilidad durante los plazos descritos en la política de privacidad.

Cada parte responderá de las obligaciones que le correspondan conforme al RGPD, la LOPDGDD, el contrato principal y este DPA. El Responsable garantiza la licitud de los datos que incorpora y las instrucciones que emite; Miofase responde del cumplimiento de las obligaciones que le corresponden como encargado.

Este documento público sirve como referencia general y reproduce sustancialmente el marco de encargado de tratamiento publicado en APP-MIOFASE. La versión vinculante será la aceptada electrónicamente o firmada por las partes durante la contratación. Si existe discrepancia entre esta página informativa y un DPA individual vigente, prevalecerá este último en la relación contractual concreta.

Las modificaciones de subencargados, seguridad o condiciones materiales se gestionarán conforme al RGPD y al procedimiento de comunicación establecido en la relación contractual.

El acuerdo se rige por el RGPD, la LOPDGDD y la demás normativa española y europea aplicable. Para cuestiones relativas al encargo de tratamiento puede escribirse a miofase@hotmail.com.