Contrato de Encargo de Tratamiento

1.Partes

Responsable del Tratamiento («el Cliente»): el negocio titular de la cuenta que contrata Loalai, cuyos datos identificativos constan en su registro de cuenta.

Encargado del Tratamiento («Loalai»): [RAZÓN SOCIAL], NIF [NIF], con domicilio en [DIRECCIÓN].

2.Objeto

Loalai tratará datos personales por cuenta del Cliente, únicamente para prestar el servicio contratado (gestión de citas y reservas, asistente por WhatsApp y voz, recordatorios, informes y funciones asociadas), según se describe en el Anexo I.

3.Duración

Este contrato estará vigente mientras lo esté la relación de servicio. Finalizada, Loalai procederá conforme a la cláusula 9.

4.Instrucciones del Responsable

Loalai tratará los datos siguiendo las instrucciones documentadas del Cliente (incluido el uso del servicio conforme a su configuración). No tratará los datos para fines propios. Si Loalai considera que una instrucción infringe la normativa, lo comunicará al Cliente.

5.Obligaciones del Encargado (art. 28.3 RGPD)

• Tratar los datos solo según las instrucciones del Responsable.
• Garantizar la confidencialidad de quienes traten los datos.
• Aplicar las medidas de seguridad del art. 32 (ver Anexo II).
• Respetar las condiciones para recurrir a subencargados (cláusula 6).
• Asistir al Responsable para atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad).
• Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto (DPIA).
• A elección del Responsable, suprimir o devolver los datos al finalizar.
• Poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías.

6.Subencargados

El Cliente autoriza con carácter general a Loalai a recurrir a los subencargados listados, con los que Loalai mantiene contratos con garantías equivalentes a las de este documento:

Loalai informará de cualquier cambio (alta o sustitución de subencargados) con antelación razonable, pudiendo el Cliente oponerse por motivos justificados.

Datos de categoría especial (salud): no se comunican a los subencargados de IA de EE.UU.; se almacenan cifrados en la UE.

7.Transferencias internacionales

Cuando un subencargado esté fuera del EEE, la transferencia se ampara en el EU-US Data Privacy Framework y/o en Cláusulas Contractuales Tipo, con medidas adicionales de minimización.

8.Violaciones de seguridad (art. 33)

Loalai notificará al Cliente, sin dilación indebida, cualquier violación de la seguridad de los datos de la que tenga conocimiento, con la información disponible para que el Cliente cumpla sus obligaciones de notificación.

9.Fin del encargo

Al terminar, Loalai, a elección del Cliente, devolverá o suprimirá los datos y las copias existentes, salvo obligación legal de conservarlos (p. ej. historia clínica: 5 años; obligaciones fiscales).

10.Responsabilidad

Cada parte responde de los daños que cause por incumplimiento de sus obligaciones conforme al art. 82 RGPD y a las condiciones del servicio.

Anexo I.Descripción del tratamiento

Categorías de interesados

Clientes finales del negocio (pacientes/comensales/clientes) y, en su caso, personal del negocio.

Categorías de datos

• Identificativos y de contacto: nombre, teléfono.
• De la cita/reserva: fecha, hora, servicio, mesa/comensales.
• Comunicaciones: mensajes con el asistente.
• Datos de salud (solo verticales sanitarios, p. ej. fisioterapia): historia clínica, evolución — categoría especial, cifrados y aislados de la IA.

Finalidad y duración

Prestación del servicio durante la vigencia de la relación.

Anexo II.Medidas de seguridad (art. 32)

• Cifrado en tránsito (HTTPS) y en reposo de los datos sensibles (AES-256-GCM).
• Control de acceso por roles y autenticación; contraseñas almacenadas con hash.
• Separación de la zona clínica (datos de salud) respecto de los servicios de IA.
• Registro de accesos y copias de seguridad.
• Alojamiento en centros de datos en la UE con certificaciones.