Contrato de encargo del tratamiento

Versión 2026-10-dpa

Este contrato se celebra entre el profesional o la clínica titular de la cuenta de Recordabot (el «Responsable») y David Carcedo Martín, con NIF 72513031B y domicilio en Avenida de la Libertad 9, 1ºB, 20004 Donostia-San Sebastián, que opera el servicio Recordabot (el «Encargado»). Contacto:david.carcedo@cop.es

Al crear la cuenta con Google, el Responsable acepta este contrato. La aceptación queda registrada con fecha, dirección IP y esta versión. Forma parte de losTérminos. LaPolítica de privacidad regula, por separado, los datos del propio Usuario, de los que el Encargado es responsable.

1. Objeto y duración

El Encargado trata datos de pacientes o clientes del Responsable únicamente para enviar recordatorios de citas por WhatsApp y reflejar las confirmaciones en el calendario del Responsable, según la configuración de la cuenta.

El contrato dura mientras la cuenta esté activa y hasta que se complete la devolución o la supresión prevista en el apartado 8.

2. Datos y personas afectadas

Personas afectadas: pacientes o clientes del Responsable cuyas citas se leen del calendario conectado.

Categorías de datos:

• Identificador de la cita en Google Calendar y fecha de la cita.
• Teléfono del paciente, cifrado en reposo.
• Estado de envío, confirmación y errores del recordatorio.
• Nombre del paciente: se lee en memoria desde el calendario para componer el mensaje y no se almacena de forma persistente.

Stripe no interviene en estos datos. La facturación del Usuario se rige por la Política de privacidad.

3. Instrucciones

El Encargado trata los datos solo siguiendo las instrucciones documentadas de este contrato y de la configuración de la cuenta (calendario conectado, número de WhatsApp y opciones de envío). No los usa para fines propios.

Si una norma obliga al Encargado a un tratamiento distinto, informará al Responsable antes de llevarlo a cabo, salvo que esa norma lo prohíba.

4. Confidencialidad

El Encargado garantiza que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de secreto.

5. Seguridad

El Encargado aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• Cifrado del teléfono del paciente en reposo.
• Cifrado de los tokens de acceso a Google.
• No conservación persistente del nombre del paciente: se obtiene del calendario en el momento del envío.
• Acceso limitado a lo necesario para operar el Servicio y el soporte de la cuenta.

6. Subencargados

El Responsable autoriza el recurso a los siguientes subencargados:

• Hetzner Online GmbH: alojamiento de la aplicación y de la base de datos. Ubicación: Unión Europea.
• Twilio: envío del mensaje de WhatsApp (número de destino y contenido del recordatorio). Si el tratamiento implica una transferencia fuera del Espacio Económico Europeo, se ampara en las garantías del artículo 46 del RGPD que Twilio ofrezca en su propio contrato, incluidas las cláusulas tipo cuando procedan.
• Google (Calendar API): acceso a la cuenta del Responsable mediante OAuth. Los datos del calendario permanecen en esa cuenta. Recordabot lee lo necesario para el recordatorio. Las transferencias que Google realice se rigen por las garantías de su propio contrato con el Responsable y, en lo que afecte al Encargado, por las cláusulas tipo u otra garantía del artículo 46 del RGPD.

El Encargado informará al Responsable, por el correo de la cuenta, de cualquier cambio previsto de subencargados. El Responsable podrá oponerse por el mismo medio en un plazo de 15 días. Si la objeción es razonable y no hay una alternativa, el Responsable podrá resolver la cuenta antes de que el cambio sea efectivo.

El Encargado impone a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las de este encargo, en lo que les sea aplicable.

7. Derechos de los interesados y brechas

El Encargado ayudará al Responsable, con las medidas técnicas de las que disponga el Servicio, a atender las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición que correspondan a los datos tratados en Recordabot.

El Encargado notificará al Responsable, sin dilación indebida, las violaciones de seguridad de los datos personales de las que tenga conocimiento, con la información de la que disponga en ese momento para que el Responsable pueda cumplir sus deberes de notificación.

También ayudará al Responsable, en la medida de lo razonable y teniendo en cuenta la naturaleza del tratamiento, en las evaluaciones de impacto y las consultas previas que le exija la normativa y que afecten a este Servicio.

8. Devolución o supresión

Al terminar el Servicio, y a elección del Responsable comunicada por correo, el Encargado devolverá o suprimirá los datos de pacientes que conserve (teléfono cifrado, identificadores de cita y estado de los recordatorios) y borrará las copias, salvo que una norma exija conservarlos. El nombre del paciente no se almacena. Si el Responsable no indica otra cosa en un plazo de 30 días desde la baja, el Encargado procederá a la supresión.

La conservación de facturas y datos de la cuenta del Usuario no forma parte de este encargo y sigue la Política de privacidad y los plazos legales.

9. Auditorías

El Encargado pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de este contrato y del artículo 28 del RGPD, y permitirá y contribuirá a las auditorías, incluidas inspecciones, que realice el Responsable o un auditor autorizado por él, con un preaviso razonable y sin perturbar de forma desproporcionada la operación del Servicio.

10. Ley aplicable

Este contrato se rige por el Derecho español y por el Reglamento (UE) 2016/679. Nada de lo aquí pactado limita las obligaciones que esa normativa impone al Encargado. Para los conflictos se estará a lo previsto en los Términos.