Contrato de encargo de tratamiento
Última actualización: 2 de noviembre de 2026 · Versión 1.0
Contrato de encargado del tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Se acepta al crear una cuenta en Estelia Clinic y forma parte de los Términos y condiciones.
Partes
- Responsable del tratamiento: la profesional o empresa titular de la cuenta en Estelia Clinic (en adelante, "la Responsable"), con los datos que figuran en su registro.
- Encargada del tratamiento: María Antonella De Angelis, NIF/NIE Y3531563L, con domicilio en Urbanización El Bosque, Calle 16, 313-10, 46370 Chiva (Valencia), España, que presta el servicio Estelia Clinic (en adelante, "Estelia").
1. Objeto
Estelia tratará por cuenta de la Responsable los datos personales necesarios para prestarle el servicio de software de gestión en la nube: alojamiento, almacenamiento, copias de seguridad, funcionamiento de la agenda, fichas clínicas, facturación, recordatorios, página de reservas online y soporte técnico.
2. Datos y personas afectadas
- Personas: pacientes y potenciales pacientes de la Responsable (incluidas las personas que solicitan cita en su página de reservas), clientes de facturación y proveedores.
- Datos: identificativos y de contacto; fecha de nacimiento; datos de salud (antecedentes, alergias, medicación, diagnósticos, tratamientos, evolución); fotografías clínicas; documentos y consentimientos firmados; citas; datos de facturación y pago.
- Operaciones: registro, almacenamiento, consulta, modificación, conservación, copia de seguridad, envío técnico de mensajes que la Responsable decida, y supresión.
3. Duración
Este contrato dura mientras la Responsable tenga una cuenta activa o en periodo de prueba, y hasta la devolución o supresión de los datos prevista en el apartado 10.
4. Obligaciones de Estelia
- Tratar los datos solo siguiendo las instrucciones documentadas de la Responsable, que son las que se derivan del uso del programa y de este contrato. Si una instrucción le pareciera contraria a la normativa, Estelia lo comunicará de inmediato.
- No usar los datos para fines propios, ni comunicarlos a terceros salvo a los subencargados indicados o por obligación legal.
- Garantizar que las personas autorizadas a tratar los datos se comprometen por escrito a mantener la confidencialidad, incluso después de terminar su relación.
- Aplicar las medidas de seguridad del apartado 6.
- Ayudar a la Responsable a atender las solicitudes de derechos de los pacientes (acceso, rectificación, supresión, oposición, limitación y portabilidad). El programa permite consultar, corregir, exportar y eliminar los datos. Si un paciente se dirige a Estelia, esta trasladará la solicitud a la Responsable en un plazo máximo de 5 días hábiles.
- Notificar a la Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible para que la Responsable pueda, en su caso, notificarla a la autoridad de control y a los afectados.
- Ayudar a la Responsable, cuando proceda, en la realización de evaluaciones de impacto y consultas previas.
- Llevar un registro de las actividades de tratamiento que realiza por cuenta de sus clientas.
- Poner a disposición de la Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, previo aviso y sin afectar a la seguridad de otras clientas.
5. Acceso de soporte
Estelia solo accederá al contenido de la cuenta de la Responsable cuando sea necesario para resolver una incidencia que esta haya comunicado, o por motivos graves de seguridad o integridad del servicio. Estos accesos quedan registrados y se limitan a lo imprescindible.
6. Medidas de seguridad
- Cifrado de las comunicaciones (https/TLS) y cifrado de los datos almacenados por el proveedor de infraestructura.
- Aislamiento de los datos de cada cuenta mediante reglas de seguridad a nivel de base de datos.
- Almacenamiento privado de fotos y documentos, accesible solo desde la cuenta titular.
- Autenticación con email y contraseña cifrada; posibilidad de bloqueo con PIN en el programa.
- Servidores ubicados en la Unión Europea y copias de seguridad periódicas.
- Control de versiones de los datos para evitar sobrescrituras entre dispositivos.
- Acceso administrativo limitado a la titular de Estelia y registrado.
- Revisión periódica de las medidas y actualización del software.
7. Subencargados
La Responsable autoriza de forma general a Estelia a recurrir a los siguientes subencargados, con los que Estelia tiene suscritos contratos que imponen obligaciones de protección de datos equivalentes a las de este contrato:
| Proveedor | Servicio | Ubicación de los datos y garantías |
|---|
| Supabase, Inc. | Base de datos, autenticación y almacenamiento de archivos (fotos y documentos) | Servidores en la Unión Europea (Irlanda). Empresa con sede en EE. UU.: cláusulas contractuales tipo de la Comisión Europea y acuerdo de encargo de tratamiento. |
| Vercel, Inc. | Alojamiento y entrega de las páginas del programa y de la web | Red global; no almacena datos de pacientes. EE. UU.: Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo. |
| Soluciones Corporativas IP, S.L. (DonDominio) | Dominio y correo electrónico profesional, incluido el envío de emails del programa (confirmación de cuenta, contraseñas) | España / Unión Europea. |
| Google Ireland Ltd. (Google Fonts) y jsDelivr | Carga de tipografías y de librerías técnicas del programa | Reciben la dirección IP del navegador al cargar la página. Transferencias amparadas en el Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo. |
| Stripe Payments Europe, Ltd. (cuando se active el pago) | Cobro de la suscripción | Irlanda / Unión Europea. Solo datos de facturación de la usuaria, nunca de pacientes. |
Estelia informará a la Responsable de cualquier cambio de subencargados con al menos 15 días de antelación, por email o dentro del programa. La Responsable podrá oponerse por motivos justificados y, si no hubiera solución, cancelar el servicio sin penalización.
8. Transferencias internacionales
Los datos de pacientes se almacenan en la Unión Europea. Si algún subencargado con sede fuera del Espacio Económico Europeo pudiera acceder a ellos, la transferencia se ampara en una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU.) o en las cláusulas contractuales tipo de la Comisión Europea.
9. Obligaciones de la Responsable
- Contar con una base legal válida para tratar los datos de sus pacientes, informarles y obtener sus consentimientos cuando sean necesarios (por ejemplo, para fotografías o comunicaciones por WhatsApp).
- Introducir en el programa solo los datos necesarios para su actividad.
- Custodiar sus credenciales de acceso y los dispositivos desde los que entra.
- Cumplir los plazos de conservación de la historia clínica y descargar sus datos antes de cancelar.
- Supervisar el tratamiento y comunicar a Estelia cualquier instrucción específica.
10. Fin del contrato
Al cancelar la cuenta, la Responsable dispondrá de 30 días para descargar una copia completa de sus datos. Pasado ese plazo, Estelia suprimirá los datos de sus sistemas, incluidas las copias de seguridad en cuanto se renueven, salvo que una norma obligue a conservarlos. En ese caso los mantendrá bloqueados y solo a disposición de las autoridades competentes.
11. Responsabilidad
Si Estelia destinara los datos a otra finalidad, los comunicara o los utilizara incumpliendo este contrato, será considerada responsable del tratamiento en lo que respecta a ese incumplimiento, conforme al artículo 28.10 del RGPD.
12. Contacto
Para cualquier cuestión sobre este contrato: soporte@esteliaclinic.com.