Contrato de encargo del tratamiento

Los roles

La clínica es la responsable del tratamiento de los datos personales que introduce en Labrador. YUFU CAPITAL, que edita Labrador, los trata por cuenta de la clínica, como encargado del tratamiento en el sentido del artículo 28 del RGPD. Este acuerdo se aplica durante todo el contrato y después durante el período de devolución que lo sigue.

Qué hacemos con los datos

Los alojamos, los conservamos, los mostramos y les damos formato, para prestar el servicio, la asistencia y la ayuda en la puesta en marcha. Nada más.

Solo actuamos siguiendo las instrucciones de la clínica: el contrato y el uso que hace de Labrador. Si una instrucción nos parece contraria a la ley, se lo decimos de inmediato.

Las personas y los datos afectados

Hay dos grupos de personas afectadas.

• Los propietarios de animales, clientes de la clínica: identidad, datos de contacto, facturas y cobros, información sobre el animal y su seguimiento (identificación, historial médico, análisis, recetas, recordatorios, citas, documentos, fotos), notas del equipo.
• Los miembros del equipo de la clínica: identidad, correo electrónico, identificadores de acceso, rol, registros de conexión y de acciones.
• No se espera ningún dato sensible en el sentido del artículo 9 del RGPD: la información médica se refiere al animal. La clínica se abstiene de introducirlos, incluso en las notas libres.

Durante cuánto tiempo

Durante el contrato y después 12 meses, para permitir que la clínica recupere sus datos. Los registros técnicos se conservan 12 meses. Pasado ese plazo, o antes si la clínica lo solicita, suprimimos los datos y sus copias, salvo obligación legal de conservarlos. Acreditamos la supresión si se nos solicita.

Seguridad

Aplicamos las medidas del artículo 32 del RGPD, en particular:

• el cifrado de los intercambios y el de los datos almacenados en el proveedor de alojamiento;
• contraseñas que nunca se conservan en claro;
• el aislamiento de los datos de cada clínica, aplicado por la propia base de datos, fila por fila;
• accesos según el rol de cada persona, ajustados a lo estrictamente necesario;
• un acceso de nuestro equipo al espacio de una clínica que debe estar motivado, limitado a cuatro horas y anotado en el registro;
• componentes de software mantenidos al día y un procedimiento de gestión de incidentes.

Confidencialidad

Las personas que tratan los datos se comprometen a mantenerlos confidenciales o están obligadas a ello por la ley.

Subencargados del tratamiento

La clínica autoriza el recurso a los proveedores que figuran a continuación. Cualquier adición o sustitución se le comunica por escrito con al menos 30 días de antelación. La clínica puede oponerse por un motivo legítimo; si no se encuentra una solución, puede rescindir el contrato sin coste, con reembolso del período no consumido. Cada proveedor está sujeto a obligaciones equivalentes, y nosotros seguimos siendo responsables de él.

• Supabase Pte. Ltd.: base de datos y autenticación. Unión Europea (Irlanda).
• Vercel Inc.: alojamiento de la aplicación y ejecución del servidor. Estados Unidos y red mundial.
• Plus Five Five, Inc. (Resend): envío de correos electrónicos. Estados Unidos.

El sellado de tiempo de la caja

Cada noche, servicios de sellado de tiempo (Sectigo, DigiCert) fechan una huella de la caja. Solo reciben esa huella, un cálculo que no contiene ningún dato personal: no son subencargados del tratamiento.

Fuera de la Unión Europea

Los datos se almacenan en Irlanda. Pero el servidor de la aplicación funciona en Estados Unidos, y el envío de correos electrónicos pasa por una empresa estadounidense. Estas transferencias están amparadas por una decisión de adecuación de la Comisión Europea, como el marco de protección de datos entre la Unión Europea y Estados Unidos para las empresas que se adhieren a él, o por las cláusulas contractuales tipo de la Comisión.

Los derechos de las personas

Ayudamos a la clínica a responder a las solicitudes de sus clientes y de su equipo: acceso, rectificación, supresión, limitación, portabilidad, oposición. Una solicitud que nos llegue directamente se le transmite en un plazo de 5 días hábiles.

Violación de la seguridad de los datos

Avisamos a la clínica sin demora y, a más tardar, 48 horas después de haber tenido conocimiento de ella, por correo electrónico a la dirección indicada en el contrato, con la información prevista en el artículo 33 del RGPD. Tomamos de inmediato las medidas para limitar sus consecuencias.

Asistencia, documentación y auditoría

Ayudamos a la clínica, en la medida de lo posible, en una evaluación de impacto o en una consulta a la autoridad de control. Más allá de la documentación disponible, esta ayuda puede ser objeto de un presupuesto. Ponemos a su disposición la documentación que demuestra que cumplimos este acuerdo, y un registro de las actividades de tratamiento realizadas por cuenta de nuestros clientes.

La clínica puede hacer realizar una auditoría una vez al año, a su cargo, con un preaviso escrito de 30 días, por un auditor independiente sujeto a secreto y que no sea competidor nuestro. Es posible una auditoría más tras una violación de la seguridad de los datos.

Escríbanos

Para cualquier pregunta sobre los datos personales: bonjour@labrador.vet.