Acuerdo de encargo de datos personales

Entre la Clínica identificada en la cuenta de HIZCAO (en adelante el Responsable) y Felipe Bejarano, persona natural comerciante, Cédula de ciudadanía N.º 1.030.649.327 (en adelante el Encargado), se celebra el presente acuerdo, que forma parte integral de los Términos de Servicio de HIZCAO. 1. OBJETO Regular el tratamiento que el Encargado realiza, por cuenta del Responsable, de los datos personales que el Responsable almacena y gestiona en HIZCAO, en cumplimiento del artículo 25 del Decreto 1377 de 2013. 2. CALIDAD DE LAS PARTES 2.1. El Responsable decide sobre las bases de datos y sobre las finalidades del tratamiento. Es quien tiene la relación con los titulares —en particular, con sus pacientes— y quien responde ante ellos y ante la Superintendencia de Industria y Comercio. 2.2. El Encargado trata los datos exclusivamente por cuenta del Responsable, conforme a sus instrucciones y a este acuerdo. No decide finalidades ni usos. 3. DATOS OBJETO DEL ENCARGO Los que el Responsable ingrese en HIZCAO, que pueden incluir: datos de identificación y contacto de pacientes y sus acudientes; datos sensibles de salud (historia clínica, odontograma, periodontograma, diagnósticos, planes de tratamiento, imágenes, consentimientos); datos de agenda; datos financieros y de facturación en salud; y datos del equipo de la Clínica. 4. FINALIDADES AUTORIZADAS El Encargado trata los datos únicamente para: (i) prestar el servicio HIZCAO conforme a los Términos; (ii) almacenarlos, respaldarlos y hacerlos disponibles al Responsable; (iii) ejecutar las funciones que el Responsable o sus usuarios activen, incluidas las de asistente de IA; (iv) prestar soporte técnico; y (v) cumplir obligaciones legales del Encargado. Queda prohibido al Encargado usar los datos para fines propios, cederlos, venderlos, usarlos para entrenar modelos de inteligencia artificial, o tratarlos de cualquier forma no instruida por el Responsable. 5. OBLIGACIONES DEL ENCARGADO 5.1. Confidencialidad. Guardar reserva sobre los datos, incluso después de terminado el acuerdo. Obligar a su personal y proveedores a lo mismo. 5.2. Seguridad. Aplicar medidas técnicas, humanas y administrativas razonables y proporcionales a la sensibilidad de los datos, que incluyen como mínimo: cifrado en tránsito y en reposo; aislamiento lógico de los datos de cada cliente; control de acceso por rol; registro de auditoría de accesos a información clínica; inmutabilidad de registros clínicos firmados; copias de seguridad; y gestión de vulnerabilidades. 5.3. Instrucciones. Tratar los datos solo conforme a este acuerdo y a las instrucciones documentadas del Responsable. Si una instrucción resulta contraria a la ley, informarlo al Responsable. 5.4. Asistencia en derechos. Cuando un titular ejerza ante el Encargado sus derechos de consulta, reclamo, rectificación, supresión o revocación, remitir la solicitud al Responsable dentro de los dos (2) días hábiles siguientes e informar al titular. Prestar al Responsable la asistencia técnica necesaria para atenderla en los plazos legales. 5.5. Incidentes. Informar al Responsable, sin dilación indebida y a más tardar dentro de las setenta y dos (72) horas siguientes a tener conocimiento, de cualquier violación de seguridad que afecte sus datos, con la información disponible sobre naturaleza, alcance, datos afectados y medidas adoptadas. 5.6. Registro de tratamiento. Mantener registro de las operaciones de tratamiento realizadas por cuenta del Responsable, incluidos los accesos a información clínica, y ponerlo a su disposición cuando lo solicite. 5.7. Auditoría. Permitir al Responsable, con aviso razonable y máximo una vez al año salvo incidente, verificar el cumplimiento de este acuerdo mediante información documental o, si es necesario, revisión coordinada. 5.8. Devolución y supresión. Al terminar el servicio, poner los datos a disposición del Responsable en formato legible durante sesenta (60) días y, vencido ese plazo, suprimirlos de sus sistemas activos y copias de seguridad en los plazos técnicos habituales, salvo obligación legal de conservación. Certificar la supresión si el Responsable lo solicita. 6. OBLIGACIONES DEL RESPONSABLE 6.1. Obtener de los titulares las autorizaciones que la ley exige, incluida la autorización previa, expresa e informada para el tratamiento de datos sensibles de salud y para su transmisión internacional a los subencargados del numeral 7. HIZCAO provee plantillas y mecanismo de firma; la obligación de obtener la autorización es del Responsable. 6.2. Informar a los titulares, en su política y aviso de privacidad, que sus datos son tratados por el Encargado y sus subencargados, y dónde. 6.3. Registrar sus bases de datos ante la Superintendencia de Industria y Comercio cuando le sea exigible. 6.4. Administrar los usuarios y roles de su cuenta, y garantizar que solo personal autorizado accede a información clínica. 6.5. Cumplir sus obligaciones como prestador de servicios de salud respecto de la historia clínica, incluida su custodia y retención por los plazos legales. 7. SUBENCARGADOS Y TRANSMISIÓN INTERNACIONAL 7.1. El Responsable autoriza al Encargado a utilizar los siguientes subencargados, todos ubicados en Estados Unidos de América: - Subencargado: Supabase, Inc. · Función: Base de datos, autenticación, almacenamiento · Datos que alcanza: Todos los datos del servicio - Subencargado: Vercel, Inc. · Función: Alojamiento y ejecución de la aplicación · Datos que alcanza: Datos en tránsito durante la ejecución - Subencargado: Anthropic, PBC · Función: Modelos de lenguaje para el asistente de IA · Datos que alcanza: La información necesaria para cada solicitud al asistente, que puede incluir datos de identificación y datos clínicos del paciente consultado - Subencargado: Resend, Inc. · Función: Correo electrónico transaccional · Datos que alcanza: Nombre, correo y contenido de las comunicaciones enviadas 7.2. El Encargado ha suscrito con cada subencargado acuerdos que les imponen obligaciones de seguridad y confidencialidad no inferiores a las de este acuerdo, y que prohíben el uso de los datos para fines propios, incluido el entrenamiento de modelos. 7.3. El Encargado informará al Responsable, con treinta (30) días de antelación, de cualquier cambio de subencargado o de ubicación. Si el Responsable objeta por razones fundadas de protección de datos, podrá terminar el servicio sin penalidad. 7.4. Las partes reconocen que Estados Unidos no ha sido declarado país con nivel adecuado de protección. La base legal de la transmisión es la autorización expresa e inequívoca del titular (Ley 1581 de 2012, art. 26, lit. a), que el Responsable se obliga a obtener conforme al numeral 6.1. 8. DATOS SENSIBLES Y FUNCIONES DE IA 8.1. El Encargado trata los datos de salud únicamente en ejecución del servicio y con las medidas reforzadas del numeral 5.2. 8.2. Las funciones de IA sobre datos de un paciente solo se ejecutan si en HIZCAO consta el consentimiento específico de ese paciente. El Encargado no las habilita de otra forma. 8.3. Las salidas de la IA sobre datos clínicos son propuestas para revisión profesional. El Encargado no responde por decisiones clínicas. 9. RESPONSABILIDAD Cada parte responde por el incumplimiento de sus propias obligaciones. El Encargado responde ante el Responsable por los daños que cause su incumplimiento de este acuerdo o de la ley, en los términos y con los límites de los Términos de Servicio, que no aplican en caso de dolo o culpa grave. 10. DURACIÓN Este acuerdo rige mientras el Encargado trate datos por cuenta del Responsable, y sus obligaciones de confidencialidad subsisten después. 11. ACEPTACIÓN Este acuerdo se acepta electrónicamente por el propietario de la cuenta de HIZCAO, con registro de identidad, fecha, hora, dirección de origen y huella criptográfica de la versión aceptada, lo que constituye firma electrónica en los términos de la Ley 527 de 1999 y el Decreto 2364 de 2012. Cuando este acuerdo se anexe a un contrato escrito entre las partes, la firma de ese contrato lo perfecciona, y la aceptación electrónica posterior en HIZCAO opera como reconfirmación y como prueba de la versión exacta aceptada.