Contrato de encargado del tratamiento

Versión 2026-10-08

1. Partes

Este contrato se celebra entre el centro que contrata UIA («el Responsable») y Unai Calderón Fernández, con NIF 23829916F y domicilio en Calle de la Reina, 18 — 30890 Puerto Lumbreras (Murcia), España («el Encargado»), y regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable al prestarle el servicio UIA, de conformidad con el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018. Se entiende aceptado por el Responsable al marcar la casilla de aceptación en el alta y queda registrado con su fecha y versión.

2. Objeto, naturaleza y duración

El Encargado trata datos personales de las clientas y clientes del Responsable únicamente para prestarle el servicio contratado: atender sus mensajes de WhatsApp, proponer y reservar citas en su agenda, enviar los avisos asociados a esas citas (confirmación, recordatorio, cambios y anulaciones), recoger reservas desde su página de reserva online y, si el Responsable lo activa, invitar a volver a clientas que llevan tiempo sin venir. El contrato dura lo que dure la prestación del servicio.

3. Datos y personas afectadas

• Personas: clientas y clientes del Responsable y personas que le escriben o reservan online.
• Datos: nombre, teléfono, correo, mensajes de WhatsApp, servicios solicitados, citas (fecha, hora, asistencia) y la prueba de los consentimientos prestados.
• Calendario del programa de citas del Responsable, si lo conecta: el Encargado lo descarga para saber qué horas están ocupadas y conserva solo el inicio y el fin de cada evento. Los títulos, las descripciones, los asistentes y las notas se descartan al leerlo y no se guardan.
• Categorías especiales: en un centro sanitario, una cita con el tratamiento pedido (una endodoncia, un implante) ya revela un dato de salud, y las conversaciones pueden contener otros. El agente no da consejo clínico ni valora síntomas. Es el Responsable quien debe disponer de la base legal del artículo 9 del RGPD: en la asistencia sanitaria suele ser la del artículo 9.2.h, y en otros casos, el consentimiento explícito.
• Inteligencia artificial y datos de salud: el agente entiende los mensajes con reglas y solo consulta a un proveedor de IA lo que sus reglas no reconocen, sin enviarle el nombre ni el teléfono de la persona. Lo que las reglas detectan como urgencia, consulta clínica o reclamación no se envía a ningún proveedor de IA: se pasa a una persona del Responsable. Aun así, un mensaje puede contener datos de salud que las reglas no detecten y que lleguen al proveedor de IA, que los trata fuera del Espacio Económico Europeo. El Responsable puede evitarlo por completo activando «solo reglas» (Citas → Privacidad del agente): ningún mensaje saldrá entonces a un proveedor de IA y el agente pasará a una persona lo que no entienda.

4. Obligaciones del Encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son las que da al configurar y usar el servicio, también en cuanto a las transferencias internacionales, y no usarlos para fines propios ni cederlos a terceros salvo por obligación legal; en ese caso, el Encargado se lo dirá al Responsable antes de tratarlos, salvo que la ley lo prohíba.
• Avisar inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otra norma de protección de datos.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 del RGPD: cifrado en tránsito, cifrado de las credenciales guardadas, control de acceso por roles con verificación en dos pasos, separación de los datos de cada cliente y copias de seguridad cifradas.
• Asistir al Responsable, con medidas técnicas y organizativas, para atender las solicitudes de ejercicio de derechos de las personas afectadas. Si el Encargado recibe una, se la traslada sin demora.
• Notificar al Responsable, sin dilación indebida y como máximo en 48 horas desde que tenga constancia, cualquier violación de la seguridad de los datos que le afecte, con la información necesaria para que pueda notificarla a la autoridad.
• Ayudar al Responsable, con la información de que disponga, en las evaluaciones de impacto y en las consultas previas a la autoridad (artículos 35 y 36 del RGPD). Un centro sanitario que use un agente de IA con datos de salud de las personas que atiende probablemente necesite su evaluación de impacto: el Encargado le facilita la descripción del tratamiento y de sus medidas.
• Llevar el registro de las actividades de tratamiento que realiza por cuenta del Responsable (artículo 30.2 del RGPD).
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, con aviso previo.
• Al terminar el servicio, devolver o suprimir los datos a elección del Responsable (la devolución se pide por correo antes de darse de baja; la baja los borra), y borrar las copias salvo que la ley exija conservarlas: las de seguridad desaparecen solas a los 30 días.

5. Subencargados

El Responsable autoriza con carácter general la intervención de los subencargados necesarios para prestar el servicio, cuya lista vigente figura en el apartado 7 de la Política de privacidad: alojamiento (Hetzner Online GmbH, en la Unión Europea), copias de seguridad cifradas (Backblaze, Inc., en su región de la Unión Europea, en Ámsterdam: las copias se cifran en el servidor de UIA antes de salir y Backblaze no tiene la clave), WhatsApp (Meta Platforms, por la plataforma oficial de WhatsApp Business; u otra pasarela si el Responsable la elige), la IA del agente y del asistente del panel (la aporta UIA con Anthropic, que la procesa en Estados Unidos; si el Responsable usa su propia clave, su proveedor), el correo de la plataforma (Google Workspace), Google Calendar si lo conecta, Stripe para el cobro y Sentry para la vigilancia de errores. El Encargado impondrá a cada uno obligaciones equivalentes y informará al Responsable de cualquier cambio con antelación razonable, pudiendo este oponerse. Las transferencias fuera del Espacio Económico Europeo se amparan en las cláusulas contractuales tipo de la Comisión Europea o en el Marco de Privacidad de Datos UE-EE. UU.

6. Obligaciones del Responsable

• Disponer de una base legal para tratar los datos de sus clientas y para escribirles por WhatsApp, e informarlas conforme a los artículos 13 y 14 del RGPD. La página de reserva online incluye la información básica y las casillas de consentimiento, pero la responsabilidad del consentimiento es del Responsable.
• Obtener el consentimiento de sus clientas antes de enviarles comunicaciones comerciales, como la invitación a volver. UIA solo la activa cuando el Responsable confirma, con su fecha, que dispone de ese consentimiento, y cada mensaje lleva la opción de darse de baja.
• Las personas que UIA conoce solo porque aparecen en el calendario del Responsable reciben únicamente los avisos de su cita (confirmación, recordatorio, cambios y anulaciones): UIA no les envía comunicaciones comerciales (invitación a volver, «ya toca tu siguiente sesión») hasta que escriban al WhatsApp del centro o consientan expresamente. La base legal para escribir a las personas de su agenda sigue siendo responsabilidad del Responsable.
• Usar el servicio conforme a la ley y a las políticas de WhatsApp y de los demás proveedores.
• Atender los derechos de las personas afectadas y mantener su propio registro de actividades de tratamiento.

7. Responsabilidad y ley aplicable

Cada parte responde de los incumplimientos que le sean imputables. Este contrato se rige por la legislación española y por el RGPD, y complementa los Términos del servicio. Para cualquier cuestión sobre protección de datos puede escribirse a contacto@uiacrm.com.