Acuerdo de Procesamiento de Datos (DPA)

Al aceptar los Términos y Condiciones de PhysioClinic Pro durante el registro, la clínica acepta el presente Acuerdo de Procesamiento de Datos (DPA) que forma parte integral del contrato de servicio.

Responsable del tratamiento: La clínica registrada en PhysioClinic Pro, que determina los fines y medios del tratamiento de datos de sus pacientes.

Encargado del tratamiento: El Proveedor de PhysioClinic Pro, que trata los datos por cuenta del Responsable para prestar el Servicio.

El Encargado tratará los datos personales del Responsable exclusivamente para prestar los servicios de PhysioClinic Pro:

El Encargado se compromete a:

1. Tratar los datos únicamente bajo instrucción del Responsable.
2. Garantizar la confidencialidad de los datos; el personal autorizado tiene formación adecuada.
3. Implementar las medidas de seguridad descritas en la Sección 5.
4. Respetar las condiciones para recurrir a subencargados (Sección 6).
5. Asistir al Responsable para responder solicitudes de derechos ARCO de los pacientes.
6. Notificar brechas de seguridad dentro de las 72 horas (Sección 7).
7. Eliminar o devolver los datos al terminar el contrato (Sección 8).

Cuando la clínica importa pacientes y consultas desde otro software de expedientes, el Encargado procesa los archivos únicamente para mostrar la revisión y para guardar lo que la clínica confirma. No conserva los archivos ni copia de ellos, no los envía a ningún subencargado distinto de los de la Sección 6 y no registra su contenido en los registros técnicos ni en el registro de actividad. Si la clínica deshace la importación dentro de los 7 días siguientes a su confirmación, el Encargado ejecuta esa instrucción: elimina de forma definitiva los pacientes que la importación creó y que no se hayan usado después, junto con lo que ella les creó, y devuelve los demás cambios que sigan sin modificarse. Para ello conserva por cada importación un registro con los valores anteriores y aplicados de los campos que cambió y huellas (hashes) de los datos aplicados para detectar cambios posteriores, que borra al deshacerla o, a más tardar, dentro de las 24 horas siguientes a que se cumplan 7 días desde que se confirmó; ese registro no se envía a ningún subencargado distinto de los de la Sección 6 ni se escribe en los registros técnicos ni en el registro de actividad. Las copias de seguridad técnicas pueden conservar lo eliminado hasta que se renuevan.

Si por error se escribieran datos de pacientes en el asistente de ayuda de la aplicación (Vera), el Proveedor los conserva solo como parte del registro de preguntas descrito en su Política de Privacidad (Sección 5.4) y sin otra finalidad. La clínica puede solicitar su supresión escribiendo a privacy@physioclinicpro.com.

La clínica se compromete a:

1. Haber obtenido bases legales válidas para tratar los datos de pacientes antes de ingresarlos en la Plataforma.
2. Informar a sus pacientes sobre el uso de PhysioClinic Pro para la gestión de expedientes.
3. Cuando el paciente sea menor de edad, informar a su encargado legal y obtener su consentimiento expreso (Ley 8968, art. 5), obtener por separado el consentimiento de WhatsApp de cada número y conservar la prueba. La Plataforma registra la fecha y el usuario que lo registró, pero no sustituye esa prueba.
4. Garantizar la exactitud de los datos introducidos.
5. Cumplir la legislación sanitaria, de protección de datos y de expedientes clínicos aplicable en su jurisdicción.
6. Indicar a su personal que no escriba datos de pacientes ni de salud en el asistente de ayuda de la aplicación (Vera): no está diseñado para tratarlos.
7. Al importar datos desde otro software: tener derecho a sacarlos de ese software y a usarlos en la Plataforma, revisar la propuesta de importación antes de confirmarla (en especial, qué pacientes existentes se actualizan), revisar el resultado si la deshace (lo que se haya usado o modificado después no se deshace), conservar su expediente original completo (la importación no incluye, por ejemplo, la anamnesis, los adjuntos ni las recetas) y proteger y eliminar los archivos descargados cuando ya no los necesite. El Encargado no verifica la exactitud ni la integridad de esos archivos.
8. Notificar al Proveedor de accesos no autorizados sospechados de inmediato.

La clínica autoriza al Proveedor a utilizar los siguientes subencargados:

• Microsoft Azure — Infraestructura, almacenamiento y monitoreo.
• Microsoft Azure OpenAI — Generación de borradores de notas clínicas con inteligencia artificial. Procesa fragmentos de PHI bajo instrucción del Encargado para prestar las funcionalidades de IA. Cuando el Proveedor tiene activa la IA del asistente de ayuda de la aplicación (Vera), que es independiente de las notas con IA, también puede redactar sus respuestas a partir de la pregunta del usuario (ya redactada) y de un artículo de ayuda, y ayudar a elegir ese artículo a partir de la pregunta (ya redactada) y de la lista de títulos y resúmenes de los artículos de ayuda, aunque finalmente no se encuentre ningún artículo; el Servicio no le envía datos de expedientes ni de pacientes, solo lo que el usuario haya escrito (ver Sección 3). Sujeto a los términos empresariales de Microsoft.
• Paddle — Procesamiento de pagos con tarjeta.
• PayPal — Procesamiento de pagos alternativos.
• Meta (WhatsApp Cloud API) — Mensajería de recordatorios (cuando el complemento está activo).
• Kapso — Proveedor de WhatsApp Business que conecta el número de la clínica y envía y recibe los mensajes de recordatorio (cuando el complemento está activo). EE. UU. / Chile; retención de mensajes de 30 días.
• Zoho — Servicio de correo del Proveedor: envío de los correos del sistema y buzón donde la clínica puede recibir los comprobantes electrónicos de sus proveedores (cuando usa la función de comprobantes recibidos). Un correo ya procesado se conserva en el buzón 30 días; el XML queda guardado en la infraestructura de Azure.
• Google reCAPTCHA — Prevención de abuso en registro.
• Proveedor de identidad federada — Autenticación federada (opcional, habilitada por la clínica).

Además, por instrucción de la clínica, el Servicio transmite al Ministerio de Hacienda los comprobantes electrónicos emitidos y las respuestas (Mensaje Receptor) a los recibidos. Hacienda es la autoridad tributaria destinataria de esa información; no es un subencargado del Proveedor.

El Proveedor notificará cambios de subencargados con al menos 14 días de anticipación.

En caso de brecha de seguridad, el Encargado:

1. Notificará a la clínica afectada dentro de las 72 horas siguientes al conocimiento de la brecha.
2. Proveerá: naturaleza de la brecha, categorías afectadas, consecuencias probables y medidas adoptadas.
3. Colaborará en las notificaciones que la clínica deba realizar ante la autoridad de protección de datos competente en su jurisdicción y ante los pacientes afectados.

Al terminar el contrato de servicio:

1. La clínica puede solicitar, a través de soporte, la exportación de sus datos durante 6 meses desde la cancelación. Una clínica cancelada puede recibir hasta dos exportaciones, con al menos siete días entre una y otra.
2. La exportación incluye los expedientes clínicos y sus adjuntos, los pacientes, sus contactos de emergencia y, si son menores, su encargado legal, las citas, el personal y los usuarios, las facturas electrónicas emitidas (XML firmado, respuesta de Hacienda y PDF), los comprobantes electrónicos recibidos de proveedores (XML original, Mensaje Receptor firmado y respuesta de Hacienda), la configuración fiscal, los tratamientos, el registro de cambios en expedientes y los consentimientos legales aceptados. No incluye credenciales ni secretos (llave criptográfica de Hacienda y su PIN, contraseñas, tokens de integraciones), los datos de la suscripción de la clínica con el Proveedor ni los registros técnicos de la plataforma.
3. Se entrega como un archivo ZIP cifrado con contraseña: el administrador de la clínica recibe el enlace de descarga y la contraseña en dos correos separados. El archivo queda disponible 72 horas, con un máximo de tres descargas, y después se elimina.
4. Los datos clínicos se conservarán en estado inaccesible por los plazos legales exigidos (mínimo 10 años para expedientes de adultos).
5. Al expirar el plazo legal, el Proveedor eliminará los datos de forma segura e irreversible.
6. A solicitud, el Proveedor expedirá una declaración de eliminación.

La clínica puede solicitar documentación de cumplimiento con al menos 30 días de anticipación. Auditorías in situ máximo una vez al año.

Este DPA se rige por los principios del derecho comercial internacional. Cada parte cumplirá con la legislación de protección de datos aplicable en su respectiva jurisdicción. Las disputas se resolverán conforme al mecanismo establecido en los Términos y Condiciones del Servicio.