Orkelia ← Volver

Acuerdo de Tratamiento de Datos (DPA)

Acuerdo de tratamiento de datos — Conforme al RGPD (UE 2016/679)

Crítico para el sector sanitario · Entregado en la firma

1. Partes

2. Objeto y alcance

En el marco de la ejecución de los servicios Orkelia, el Encargado del tratamiento (Orkelia) trata datos personales por cuenta del Responsable del tratamiento (el Cliente).

El presente acuerdo define las condiciones en las que Orkelia trata dichos datos de conformidad con el artículo 28 del RGPD.

3. Naturaleza de los datos tratados

Categoría	Naturaleza	Calificación RGPD
Identidad de pacientes	Apellido, nombre, teléfono (para la cita)	Dato ordinario
Metadatos operativos	Fecha/hora de contacto, estado de la solicitud	Dato ordinario
Comunicaciones	Mensajes entrantes/salientes de los agentes IA	Dato ordinario

4. Obligaciones de Orkelia (encargado del tratamiento)

• Tratar los datos únicamente según instrucciones documentadas del Responsable del tratamiento
• Garantizar la confidencialidad de los datos (acuerdo de confidencialidad con los colaboradores)
• Aplicar las medidas de seguridad técnicas y organizativas apropiadas (Artículo 32 RGPD)
• No contratar a otros encargados sin información previa al Responsable
• Asistir al Responsable en el ejercicio de los derechos de los interesados
• Notificar cualquier incidente de seguridad en un plazo de 72 horas
• Suprimir o restituir los datos al finalizar el contrato
• Facilitar toda la información necesaria para las auditorías del Responsable

5. Medidas de seguridad (Artículo 32 RGPD)

• Cifrado TLS 1.3 en tránsito en todas las comunicaciones
• Cifrado AES-256 en reposo (Supabase, región eu-west-3 París)
• Aislamiento de los datos por clínica mediante Row Level Security (Supabase)
• Autenticación multifactor para el acceso a los sistemas de producción
• Claves API y secretos almacenados en variables de entorno del lado del servidor (no expuestos)
• Registro de los accesos a los datos de producción
• Revisión de seguridad trimestral

6. Subencargados ulteriores

Orkelia recurre a los siguientes subencargados, aceptados por el Cliente en la firma:

Subencargado	Uso	País	Garantía
Supabase Inc.	Base de datos	UE (París)	RGPD nativo
Vercel Inc.	Alojamiento de la aplicación	EE. UU./UE	CCT (SCC)
Anthropic PBC	Motor IA (Claude)	EE. UU.	CCT · Zero Data Retention
Stripe Inc.	Pago (datos financieros)	EE. UU.	PCI-DSS L1
Resend Inc.	Correos transaccionales	EE. UU.	CCT

CCT = Cláusulas Contractuales Tipo aprobadas por la Comisión Europea.

7. Transferencias fuera de la UE

Algunos subencargados (Vercel, Anthropic, Stripe, Resend) están establecidos en los Estados Unidos. Estas transferencias se rigen por Cláusulas Contractuales Tipo (CCT) de conformidad con las decisiones de la Comisión Europea.

En cuanto a Anthropic: la política "Zero Data Retention" está activada — los datos enviados a los modelos no se conservan para el entrenamiento.

8. Duración y fin del tratamiento

El presente acuerdo entra en vigor en la fecha de contratación del contrato Orkelia y finaliza con la resolución de este último.

Al finalizar el contrato, Orkelia se compromete a:

• Suprimir los datos en un plazo de 90 días
• Facilitar un certificado de supresión a petición
• Permitir la exportación de los datos antes de la supresión (formato CSV/JSON)

9. Notificación de incidente

En caso de violación de datos que pueda suponer un riesgo para los derechos y libertades de las personas, Orkelia notifica al Responsable del tratamiento en un plazo de 72 horas a través del correo registrado en el contrato.

La notificación incluye: naturaleza del incidente, datos afectados, medidas adoptadas, contacto del punto de referencia.

10. Solicitud de DPA firmado

Para obtener una versión PDF del presente acuerdo, cumplimentada y firmada por Orkelia:

Solicitar el DPA firmado →