Encargo de tratamiento

1. Partes y formalización

La clínica o el profesional identificado en el pedido actúa como responsable del tratamiento. El titular de Quraly identificado en el aviso legal actúa como encargado respecto de los datos tratados por cuenta de la clínica. Si esta actúa por cuenta de otra entidad, debe acreditar la autorización para incorporar a Quraly en la cadena de encargos.

Este encargo se incorpora al contrato mediante aceptación o firma documentada, junto con el anexo del servicio, las instrucciones y la relación de subencargados aplicable. Debe formalizarse antes de introducir datos personales reales. La mera publicación de este texto no constituye prueba de firma, autorización de una clínica ni consentimiento de sus pacientes.

2. Objeto, operaciones y duración

El encargo permite prestar los módulos de software y los servicios expresamente contratados: alojamiento y organización de registros, gestión de citas, historia y documentación clínica, presupuestos, facturación, comunicaciones, soporte, migración, exportación y, cuando estén contratadas, tareas de marketing autorizadas.

Puede comprender recogida, registro, estructuración, almacenamiento, consulta, modificación, transmisión autorizada, extracción, limitación, devolución y supresión. Cada operación se limita a las funciones habilitadas y las instrucciones del responsable; un plan comercial no autoriza cualquier uso de su base de pacientes.

Su duración coincide con la prestación del servicio y se extiende, con acceso limitado, a la devolución y custodia residual instruida o exigida legalmente. No se extinguen las obligaciones de confidencialidad ni de protección de los datos conservados.

3. Personas y datos comprendidos

Los interesados pueden ser pacientes, representantes legales o familiares autorizados, personas que solicitan información a la clínica, profesionales, trabajadores, usuarios de la plataforma y contactos de proveedores de la clínica.

Según los módulos, los datos pueden incluir identidad, contacto, representación, citas, comunicaciones, documentación asistencial, antecedentes, alergias, diagnósticos, tratamientos, imágenes e informes, consentimientos, presupuestos, facturas, pagos, datos laborales de jornada y registros de actividad. Los datos de salud son categorías especiales. No se incorporan categorías no necesarias, antecedentes penales ni datos biométricos de identificación sin un alcance y habilitación específicos.

El anexo individual concreta las categorías efectivamente tratadas, los módulos, los destinatarios, las integraciones y los plazos. Los datos de cuenta y facturación tratados por Quraly para sus propias obligaciones se rigen por la política de privacidad.

4. Instrucciones y limitación de uso

Quraly trata los datos solo siguiendo instrucciones documentadas del responsable, incluidas las relativas a destinatarios y transferencias. Las instrucciones se recogen en el contrato, la configuración autorizada y las solicitudes verificadas del representante designado. Si una instrucción infringe la normativa, Quraly lo comunica de inmediato y detiene la operación afectada hasta aclararla.

No se utilizan datos de pacientes para publicidad propia, venta de información, creación de bases ajenas a la clínica ni entrenamiento de modelos generales de IA. No se comunican a terceros salvo instrucción, subencargo autorizado u obligación legal. En este último caso se informa previamente al responsable cuando la ley lo permita.

5. Confidencialidad y personal autorizado

Solo acceden las personas que necesitan los datos para sus funciones y con los permisos mínimos. Quraly exige compromisos de confidencialidad o una obligación legal equivalente, instrucciones y formación proporcionadas a las funciones y al riesgo sanitario. Los accesos de soporte deben estar justificados, limitados y registrados. Los permisos se revisan y se retiran cuando termina la función. La obligación continúa después de la relación laboral o profesional.

6. Anexo de medidas de seguridad

Para el tratamiento contratado, Quraly se obliga a mantener medidas adecuadas al riesgo, evaluarlas y poder acreditar su aplicación. El anexo técnico de cada servicio concreta su alcance y los parámetros operativos. Incluye:

1. Aislamiento: una base y un usuario de base de datos por clínica, separación de documentos, restricciones entre clínicas y separación de los entornos de pruebas y producción.
2. Acceso: cuentas individuales, doble factor, roles por función y profesional, revisión de permisos y registro de acceso a la documentación clínica y de operaciones relevantes.
3. Cifrado: comunicaciones mediante HTTPS, protección criptográfica de campos sensibles, copias cifradas y gestión restringida de claves y secretos.
4. Continuidad: copias automáticas en la UE, con copia fuera de la VPS, restauraciones verificadas y procedimiento para recuperar disponibilidad e integridad. Frecuencia, retención, objetivos de recuperación y pruebas deben quedar documentados en el anexo operativo.
5. Protección de sistemas: control de accesos de administración, actualizaciones de seguridad, filtrado de red, gestión de vulnerabilidades y registro e investigación de incidentes.
6. Minimización: datos de prueba ficticios o anonimizados, restricciones de exportación, acceso a documentos limitado y retirada de datos de espacios temporales de soporte.
7. Verificación: revisión de las medidas, controles de acceso y restauraciones; documentación de incidencias y acciones correctoras. No se afirma certificación o auditoría externa por el solo hecho de contratar.

La clínica configura los permisos de sus profesionales, protege sus dispositivos, controla a sus usuarios y comunica incidentes. El reparto de tareas no reduce las obligaciones propias de ninguna parte.

7. Subencargados y transferencias

Quraly solo recurre a subencargados con autorización escrita específica o general documentada. El anexo aceptado identifica entidad, función, datos accesibles, ubicación y garantías; la página de proveedores aporta información complementaria, sin sustituir ese anexo ni autorizar servicios no identificados.

En caso de autorización general, la incorporación o sustitución se comunica con al menos 30 días de antelación, con información suficiente y oportunidad de oposición motivada por protección de datos. Si no puede ofrecerse una solución conforme, se acuerda la desactivación o terminación del servicio afectado y la devolución de datos antes de habilitar el cambio.

El subencargado queda sujeto a obligaciones de protección equivalentes y Quraly responde frente al responsable por su cumplimiento. No se permiten transferencias o accesos fuera del EEE sin instrucción, identificación del destino y un mecanismo válido del capítulo V del RGPD. La residencia europea de datos no excluye por sí sola accesos internacionales de un proveedor.

8. Derechos y asistencia al responsable

Quraly facilita, teniendo en cuenta la naturaleza del tratamiento, la atención de solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si recibe directamente una solicitud de un paciente, la traslada a la clínica sin dilación indebida y no decide sobre ella salvo autorización o deber legal.

Quraly coopera para identificar registros, extraer copias y ejecutar instrucciones verificadas. La clínica evalúa límites de acceso, derechos de terceros, anotaciones subjetivas, representación de menores y conservación legal. Quraly presta asistencia para evaluaciones de impacto, consultas previas y cumplimiento de las obligaciones de seguridad, atendiendo a la información de la que dispone.

9. Incidentes y brechas

Quraly notifica a la clínica sin dilación indebida las violaciones de seguridad de los datos personales de las que tenga conocimiento. La información disponible incluye naturaleza del incidente, categorías y volumen aproximado de afectados y registros, contacto, consecuencias probables y medidas adoptadas o propuestas. Si no está completa, se facilita por fases sin retrasar la primera comunicación.

La clínica decide sobre las notificaciones a autoridades y afectados que le correspondan; el plazo general del artículo 33 del RGPD para notificar a la autoridad es de 72 horas desde el conocimiento cuando proceda. Ese plazo no es el tiempo que Quraly puede esperar para avisar a la clínica. Ambas partes conservan evidencias y coordinan contención, recuperación y corrección.

10. Auditoría y acreditación

Quraly pone a disposición la información necesaria para demostrar el cumplimiento del encargo y permite y contribuye a auditorías e inspecciones realizadas por el responsable o un auditor autorizado. Se coordinan de forma razonable para proteger la seguridad y los datos de otras clínicas, sin impedir el ejercicio efectivo del derecho de auditoría ni las actuaciones de las autoridades competentes.

Quraly mantiene el registro de actividades que le corresponda como encargado e información de sus subencargados y medidas. La clínica mantiene su registro, informa a los pacientes, documenta las bases jurídicas y valora la evaluación de impacto y la designación de DPD según su actividad.

11. Devolución, conservación y supresión

Al terminar el servicio, la clínica elige de forma documentada la devolución o supresión, salvo las obligaciones de conservación aplicables. Quraly facilita la exportación en formatos estándar y mantiene la documentación clínica y las facturas accesibles en modo lectura durante la custodia residual acordada, conforme a las condiciones del servicio.

La clínica identifica el plazo aplicable a cada conjunto documental. El mínimo estatal general de historia clínica es de cinco años desde el alta de cada proceso asistencial, pudiendo existir plazos autonómicos o necesidades legales superiores. No se aplica una conservación clínica indefinida e indiscriminada ni un borrado comercial automático.

Las copias residuales se eliminan conforme al ciclo de retención documentado, quedan aisladas de usos ordinarios y, si se restauran por continuidad, se reaplican las instrucciones de supresión. Quraly acredita la devolución o destrucción cuando se solicita y conserva bloqueada únicamente la información que deba mantener legalmente.

12. Obligaciones de la clínica y contacto

La clínica proporciona instrucciones lícitas, informa a los interesados, determina la base jurídica de asistencia y comunicaciones, verifica los permisos y limita los datos a lo necesario. El consentimiento informado sanitario no sustituye la base jurídica de datos ni autoriza campañas comerciales. La activación de IA, mensajería o atribución publicitaria exige una evaluación y un alcance específicos.

Para cuestiones del encargo y comunicación de incidentes: info@quraly.com. El pedido debe identificar además los interlocutores de seguridad de ambas partes y el canal de escalado operativo.