1. Partes
Estos términos rigen el contrato entre Jesus Badia Closa (Profesional autónomo (persona física), NIF 39390530V, en adelante el «Encargado» o «Chronosurg») y la entidad sanitaria que contrata el servicio (en adelante, el «Cliente» o «Responsable del Tratamiento»).
2. Objeto
Chronosurg ofrece una plataforma SaaS de gestión clínica que permite al Cliente registrar y dar seguimiento a la actividad asistencial de pacientes en distintos módulos (cirugía colorrectal, bariátrica, endocrina, esofagogástrica, entre otros). El servicio se presta tal y como esté configurado por el Cliente y se evolutivo de forma continua.
3. Cuenta y autorización
La creación de un workspace en app.chronosurg.com requiere la designación de un usuario «administrador», la firma electrónica del Contrato de Encargo de Tratamiento (DPA) y la cumplimentación de los datos legales del Responsable. Hasta la firma del DPA, el acceso a la funcionalidad clínica permanece bloqueado.
4. Cláusula de protección de datos
«Las partes contratantes se comprometen al cumplimiento de lo establecido en el Reglamento General 679/2016 de Protección de datos personales y la Ley Orgánica 3/2018 de Protección de datos y garantía de los derechos digitales. Los datos personales tratados en el presente contrato serán tratados legitimados por el artículo 6.1.b con la finalidad de gestionar la relación comercial y la prestación de los servicios contratados. Los interesados tendrán derechos en todo momento a acceder a sus datos, rectificarlos, oponerse a su tratamiento o suprimirlos si creen que ya no son necesarios para las finalidades para las cuales fueron recogidos.»
5. Régimen de Encargo del Tratamiento (Art. 28 RGPD)
«En la prestación de los servicios y la adquisición de la plataforma Chronosurg, Jesus Badia Closa actuará como encargado de tratamiento de datos personales, siendo el hospital cliente el responsable del tratamiento. En cumplimiento de lo establecido en el artículo 28 del RGPD, la relación entre el responsable y el encargado será regulada a través de un contrato u otro acto jurídico, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados y las obligaciones y derechos del responsable.»
El DPA se ajusta a las cláusulas contractuales tipo previstas en la Decisión de Ejecución (UE) 2021/915 de la Comisión, de 4 de junio de 2021, relativa a las cláusulas contractuales tipo entre responsables y encargados del tratamiento contempladas en el artículo 28, apartado 7, del Reglamento (UE) 2016/679. Cada Cliente firma electrónicamente su instancia del DPA al alta, con sus datos legales y los del DPD si lo tiene designado, y firmará una nueva versión cuando se modifique el Anexo IV (lista de subencargados) o las medidas técnicas y organizativas del Anexo III.
6. Obligaciones del Cliente (Responsable)
- Determinar las finalidades del tratamiento y dar instrucciones documentadas al Encargado.
- Recabar el consentimiento o disponer de la base jurídica habilitante para los datos que se introduzcan en la plataforma.
- Informar a los pacientes y al personal sanitario conforme al Art. 13 RGPD, indicando expresamente que los datos serán tratados por el Encargado en su condición de proveedor SaaS.
- Mantener su propio Registro de Actividades de Tratamiento (Art. 30.1 RGPD) y realizar la EIPD cuando proceda.
- Atender los derechos ARCOPL ejercidos por los interesados, con la asistencia del Encargado.
7. Obligaciones del Encargado
- Tratar los datos exclusivamente conforme a las instrucciones documentadas del Responsable.
- Mantener un Registro de Actividades de Tratamiento como Encargado (Art. 30.2 RGPD).
- Aplicar las medidas técnicas y organizativas previstas en el Anexo III del DPA.
- Asistir al Responsable para atender los derechos ARCOPL, las EIPD y las obligaciones de seguridad y notificación.
- Mantener la confidencialidad indefinida tras el fin del contrato y exigirla a su personal y subencargados autorizados.
- Notificar al Responsable, sin dilación indebida, cualquier brecha de seguridad, proporcionando la información necesaria para la notificación a la autoridad de control en el plazo de 72 horas (Art. 33 RGPD).
8. Subencargados
Los subencargados autorizados se publican en /subencargados. La incorporación o sustitución de subencargados se notifica con al menos diez días de antelación; el Cliente puede oponerse en ese plazo y, en caso de oposición no resoluble, resolver el contrato.
9. Tarifas, facturación y plan
Las tarifas son las publicadas en /precios en el momento del alta. Los cambios de plan se aplican de forma proporcional. La facturación es mensual o anual, según el plan elegido. El impago habilitará la suspensión del servicio tras aviso razonable, sin perjuicio de la obligación del Encargado de devolver los datos al Responsable.
10. Suspensión y terminación
Cualquiera de las partes podrá resolver el contrato por incumplimiento sustancial previa notificación. A la finalización, el Encargado devolverá al Responsable los datos personales conforme a la Cláusula 19 del DPA y procederá al borrado total en sus sistemas, salvo retención mínima exigida por obligaciones legales.
11. Modificaciones
Estos términos pueden actualizarse para reflejar cambios normativos o evolución del servicio. Los cambios materiales se comunican con antelación razonable; el Cliente podrá resolver el contrato sin penalización si los rechaza.
12. Ley aplicable y jurisdicción
Estos términos se rigen por la legislación española. Las controversias se someterán a los Juzgados y Tribunales competentes del domicilio del Encargado, salvo norma imperativa contraria.