Contrato de encargo del tratamiento

Responsable del tratamiento: el profesional o centro de psicología que contrata Psiconectia. Decide para qué y cómo se tratan los datos de sus pacientes, y es quien debe informarles y recabar sus consentimientos.

Encargado del tratamiento: Sergi Gisbert Lluch (nombre comercial «Psiconectia»), NIF 20490513C, con domicilio en Calle Francisco Pizarro, 59 — 12580 Benicarló (Castellón), España y contacto en info@psiconectia.com. Trata esos datos únicamente para prestar el servicio, siguiendo las instrucciones del responsable.

Este contrato se acepta al crear la cuenta y queda registrado con su versión y su fecha. Sustituye a cualquier acuerdo anterior sobre la misma materia.

Objeto: alojar y hacer funcionar la consulta digital del responsable. Duración: mientras dure la suscripción.

• Categorías de interesados: pacientes del responsable, sus profesionales y personal con acceso al centro.
• Categorías de datos: identificativos y de contacto, datos de citas y facturación y, sobre todo, datos de salud (notas, transcripciones, informes, cuestionarios y registros de la app del paciente), que son datos de categoría especial (art. 9 RGPD).
• Operaciones: recogida, registro, conservación, consulta, transcripción, generación de borradores con IA, comunicación a los destinatarios que el responsable indique, supresión y exportación.

• Tratar los datos solo según las instrucciones del responsable y para prestar el servicio; nunca para fines propios ni para vender a terceros.
• Guardar secreto, también después de terminar el contrato, y exigir lo mismo a quien acceda a los datos.
• Aplicar las medidas de seguridad del apartado 5 y revisarlas periódicamente.
• Ayudar al responsable a atender los derechos de sus pacientes y a cumplir sus obligaciones de seguridad, notificación y evaluación de impacto.
• Poner a su disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, avisando con antelación y sin comprometer datos de otros clientes.
• No transferir datos fuera del Espacio Económico Europeo salvo con las garantías del apartado 4.

El responsable autoriza a Psiconectia a apoyarse en los proveedores publicados en la lista de subencargados, todos ellos vinculados por obligaciones equivalentes a las de este contrato.

Si añadimos o cambiamos uno, lo avisaremos por email con al menos 20 días naturales de antelación. Si no estás de acuerdo, puedes cancelar la suscripción sin penalización antes de que el cambio entre en vigor.

Las transferencias fuera del EEE (OpenAI para la transcripción del audio, Anthropic para los informes y el chat, Resend para el correo y Vercel para la infraestructura, todos en EE. UU.) se amparan en cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias correspondientes. Ninguno de los dos proveedores de IA usa los datos para entrenar modelos.

• Cifrado en tránsito (TLS 1.2 o superior) y en reposo.
• Aislamiento por cliente: cada profesional solo accede a sus pacientes, aplicado en la propia base de datos.
• Segunda barrera de acceso al contenido clínico dentro del panel.
• Registro de auditoría de los accesos a datos sensibles.
• Copias de seguridad automáticas y capacidad de restauración.
• El audio de las sesiones grabadas no se conserva: se transcribe y se descarta.
• Los datos enviados a los modelos de IA no se usan para entrenarlos.

Si detectamos una violación de seguridad que afecte a datos del responsable, se lo comunicaremos sin dilación indebida y, como máximo, en 48 horas desde que tengamos constancia, con lo que sepamos: qué ha pasado, a qué datos afecta, consecuencias probables y medidas adoptadas. La notificación a la autoridad y, en su caso, a los pacientes corresponde al responsable, y le asistiremos en ella.

El responsable puede exportar en cualquier momento los historiales desde el propio panel. Al terminar, dispone de 30 días para descargar lo que necesite; pasado ese plazo, los datos se eliminan del entorno de producción y desaparecen de las copias de seguridad en su ciclo habitual, salvo lo que haya que conservar por obligación legal.

La historia clínica es responsabilidad del profesional, incluido su deber de custodia durante los plazos que fija la normativa sanitaria: antes de cerrar la cuenta, asegúrate de haberla exportado.

Cada parte responde del incumplimiento de sus obligaciones conforme al art. 82 RGPD. Se aplica la legislación española y son competentes los juzgados del domicilio del responsable cuando este sea consumidor; en los demás casos, los del domicilio de Psiconectia.