Contrato de encargado del tratamiento

1. Partes

Responsable del tratamiento: el profesional o el centro titular de la cuenta en Nerela, que decide qué datos de sus pacientes trata y con qué fines (el «Responsable»).

Encargado del tratamiento: LAGASTROEMIA VENTURES OÜ, sociedad constituida en Estonia, con domicilio social en Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallin, Estonia, y número de identificación a efectos del IVA EE102418024, que presta el servicio Nerela («Nerela»). Contacto de protección de datos: admin@nerela.eu.

2. Objeto y duración

Nerela trata, por cuenta del Responsable, los datos personales que este introduce o recoge a través de la Aplicación (sobre todo datos de sus pacientes, incluidos datos de salud) únicamente para prestarle el servicio descrito en los Términos y Condiciones. Los tipos de datos, las categorías de interesados y las operaciones se describen en el Anexo I.

Este contrato está vigente mientras el Responsable tenga cuenta en Nerela y, después, mientras Nerela conserve datos tratados por su cuenta (cláusula 12).

No están incluidos los datos de la propia cuenta del profesional (nombre, correo electrónico y datos de facturación de la suscripción a Nerela): respecto de ellos, Nerela es responsable del tratamiento, como explica la Política de Privacidad.

3. Naturaleza y finalidad del tratamiento

Nerela aloja, organiza, conserva, muestra, transmite y suprime los datos para que el Responsable pueda usar las funciones de la Aplicación: agenda y citas, fichas de pacientes, notas de sesión (incluidas las imágenes adjuntas), facturación, reserva online y recordatorios y, si el Responsable los activa, los módulos opcionales (recordatorios por WhatsApp, Secretaria Virtual y cobro con tarjeta).

Nerela no trata esos datos para fines propios: no los vende, no los cede a terceros, no los usa para publicidad ni para elaborar perfiles, y no los usa para entrenar modelos de inteligencia artificial.

4. Instrucciones del Responsable

Nerela solo trata los datos siguiendo instrucciones documentadas del Responsable, también en lo relativo a las transferencias fuera del Espacio Económico Europeo (artículo 28.3.a del RGPD). Son instrucciones documentadas este contrato, los Términos y Condiciones, las acciones y configuraciones que el Responsable realiza en la Aplicación (por ejemplo, crear, modificar, exportar o suprimir datos, o activar un módulo) y las solicitudes que haga por escrito a admin@nerela.eu.

Si Nerela considera que una instrucción infringe el RGPD u otra norma de protección de datos, lo comunica de inmediato al Responsable y puede suspender su ejecución hasta que este la confirme o la modifique.

Si el Derecho de la Unión o de un Estado miembro obliga a Nerela a tratar los datos de otro modo, Nerela informa al Responsable antes de hacerlo, salvo que ese Derecho lo prohíba por razones importantes de interés público.

El personal de Nerela solo accede al contenido de la cuenta del Responsable cuando este lo pide (por ejemplo, para darle soporte), cuando es necesario para resolver un incidente de seguridad o de funcionamiento, o cuando la ley lo exige.

5. Confidencialidad y secreto profesional

Nerela garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad adecuada, también después de dejar de trabajar con Nerela, y que solo acceden a los datos en la medida necesaria para prestar o apoyar el servicio.

Nerela sabe que el Responsable está sujeto a secreto profesional y trata toda la información clínica con la misma reserva: no la revela a nadie, salvo por instrucción del Responsable o por obligación legal.

6. Seguridad del tratamiento

Nerela aplica las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo de tratar datos de salud (artículo 32 del RGPD). Puede sustituirlas por otras equivalentes o mejores a medida que el servicio evoluciona, pero nunca de forma que se reduzca el nivel global de protección.

7. Subencargados del tratamiento

El Responsable otorga a Nerela una autorización general para recurrir a los subencargados enumerados en el Anexo III (artículo 28.2 del RGPD).

Antes de añadir o sustituir un subencargado, Nerela informa al Responsable por correo electrónico y actualiza el Anexo III con al menos 30 días de antelación. Si un proveedor de Nerela le avisa con menos antelación de un cambio en su propia cadena, Nerela informa al Responsable en cuanto tiene conocimiento de él.

El Responsable puede oponerse al cambio por escrito, por motivos razonables relacionados con la protección de datos, hasta la fecha en que surta efecto. Si no hay una solución aceptable (por ejemplo, dejar de usar el módulo afectado), el Responsable puede cancelar la cuenta antes de esa fecha sin ninguna penalización.

Nerela impone a cada subencargado, mediante contrato escrito, obligaciones de protección de datos equivalentes a las de este contrato (artículo 28.4) y sigue siendo plenamente responsable ante el Responsable de su cumplimiento.

No son subencargados de Nerela los servicios que el propio Responsable elige y contrata, y a los que pide a la Aplicación que envíe datos: por ejemplo, la herramienta de videoconsulta cuyo enlace indica, el programa de facturación certificado o la cuenta de Stripe que conecta, la ADSE (Portugal), el calendario en el que se suscribe a la agenda o el asesor contable al que envía informes. Respecto de ellos, Nerela se limita a transmitir los datos que el Responsable indica, cuando lo indica.

8. Transferencias internacionales

La base de datos, la autenticación y los archivos de la Aplicación están alojados en la Unión Europea (París, Francia). Algunos subencargados tratan datos fuera del Espacio Económico Europeo (EEE), sobre todo en Estados Unidos: el Anexo III indica, para cada uno, dónde trata los datos y con qué garantía.

Nerela solo transfiere datos personales fuera del EEE, o autoriza que un subencargado lo haga, con una de las garantías del capítulo V del RGPD: una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU., para las empresas certificadas), las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión u otra garantía adecuada del artículo 46.

Las transferencias ligadas a WhatsApp (recordatorios por WhatsApp y Secretaria Virtual) solo se producen si el Responsable usa esas funciones.

9. Derechos de los interesados

Las solicitudes de los interesados (acceso, rectificación, supresión, limitación, oposición y portabilidad) las atiende el Responsable. La Aplicación le permite consultar, corregir y suprimir directamente los datos de sus pacientes: al suprimir un paciente se suprimen también sus citas, notas de sesión e imágenes clínicas; las facturas ya emitidas se conservan por las obligaciones fiscales, y tanto ellas como las conversaciones de WhatsApp quedan desvinculadas de la ficha. Para la portabilidad, el Responsable puede obtener los datos como prevé la cláusula 12.

Si un interesado se dirige directamente a Nerela, Nerela traslada la solicitud al Responsable sin dilación indebida y, como máximo, en 5 días hábiles, y no le responde por su cuenta, salvo para confirmarle el traslado.

Teniendo en cuenta la naturaleza del tratamiento, Nerela ayuda al Responsable, mediante medidas técnicas y organizativas apropiadas y siempre que sea posible, a responder a esas solicitudes (artículo 28.3.e).

10. Violaciones de la seguridad de los datos personales

Nerela notifica al Responsable, sin dilación indebida tras tener conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a datos tratados por su cuenta, por correo electrónico a la dirección de la cuenta. [PENDIENTE: plazo máximo que fijar con el abogado; propuesta: 48 horas.]

La notificación incluye, en la medida en que Nerela la conozca, la información del artículo 33.3 del RGPD (la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto) y se completa por fases, a medida que avanza la investigación.

Nerela adopta de inmediato las medidas razonables para contener la violación y mitigar sus efectos, y ayuda al Responsable a cumplir sus propias obligaciones: notificarla a la autoridad de control competente (en España, la AEPD) en el plazo de 72 horas del artículo 33 y, cuando el riesgo sea alto, comunicarla a los interesados (artículo 34). Nerela no notifica a autoridades ni a interesados en nombre del Responsable sin instrucción de este, salvo que la ley la obligue.

11. Asistencia al Responsable

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, Nerela ayuda al Responsable a cumplir las obligaciones de los artículos 32 a 36 del RGPD: seguridad del tratamiento, violaciones de la seguridad de los datos, evaluación de impacto relativa a la protección de datos y consulta previa a la autoridad de control. Para ello, pone a su disposición este contrato y sus anexos, responde a las preguntas razonables sobre el funcionamiento de la Aplicación y le informa de los cambios relevantes del servicio.

12. Fin del servicio: devolución y supresión

A petición del Responsable, por escrito a admin@nerela.eu, Nerela le entrega en un plazo de 30 días una copia de los datos personales que trata por su cuenta, incluidos los archivos adjuntos, en un formato estructurado, de uso común y de lectura mecánica. Cuando la Aplicación permita exportar los datos (en Ajustes, en la sección de privacidad y datos), el Responsable podrá además descargarlos directamente; esa exportación es un medio para obtenerlos y no sustituye esta obligación.

Antes de cancelar, el Responsable debe obtener una copia de lo que necesite conservar; por ejemplo, las historias clínicas y las facturas que la ley o las normas de su profesión le obliguen a guardar.

Tras el fin del servicio, Nerela suprime los datos personales tratados por cuenta del Responsable, incluidas las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos. Si antes de ese momento el Responsable pide una copia, Nerela se la entrega antes de suprimirlos. Los datos que aún queden en copias de seguridad no se usan para ningún fin hasta su eliminación. [PENDIENTE: plazo que fijar; propuesta: 30 días, más el ciclo de retención de las copias de seguridad.]

13. Demostración del cumplimiento y auditorías

Nerela pone a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y del artículo 28 del RGPD (este contrato, la lista de subencargados y la descripción de las medidas del Anexo II) y responde por escrito a sus preguntas razonables.

Nerela permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por él y sujeto a un deber de confidencialidad. Salvo ante una violación de la seguridad de los datos o una solicitud de una autoridad de control, las auditorías se solicitan por escrito con al menos 30 días de antelación, se realizan como máximo una vez al año y a cargo del Responsable, y no pueden dar acceso a datos de otros clientes ni comprometer la seguridad del servicio.

14. Obligaciones del Responsable

El Responsable garantiza que cuenta con una base jurídica válida para tratar los datos de sus pacientes, incluida una de las circunstancias del artículo 9.2 del RGPD para los datos de salud, y que les informa conforme a los artículos 13 y 14, también sobre las categorías de destinatarios.

Da instrucciones lícitas, decide durante cuánto tiempo conserva cada dato de acuerdo con la ley y con las normas de su profesión, y no introduce en la Aplicación datos de personas con las que no tiene una relación profesional legítima.

Protege el acceso por su parte: custodia sus credenciales, gestiona quién de su equipo tiene acceso y con qué nivel, y protege los dispositivos y las cuentas de correo electrónico o de WhatsApp en las que recibe información de la Aplicación. Decide si activa los módulos opcionales, sabiendo que implican las transferencias descritas en el Anexo III.

15. Responsabilidad

Cada parte responde ante los interesados conforme al artículo 82 del RGPD. Si Nerela trata los datos para fines propios o en contra de las instrucciones lícitas del Responsable, será considerada responsable del tratamiento respecto de ese tratamiento (artículo 28.10). [PENDIENTE: encaje con la limitación de responsabilidad de la sección 10 de los Términos y Condiciones, que revisar con el abogado.]

16. Modificaciones, prevalencia y ley aplicable

Nerela puede actualizar este contrato para reflejar cambios en el servicio, en los subencargados (cláusula 7) o en la ley. Los cambios sustanciales se comunican al Responsable por correo electrónico o en la Aplicación con una antelación razonable.

En caso de contradicción entre este contrato y los Términos y Condiciones en materia de protección de datos personales, prevalece este contrato.

Este contrato se rige por el RGPD y por el Derecho del Estado miembro que resulte aplicable. [PENDIENTE: elección de la ley aplicable y del fuero, que decidir con el abogado; los Términos y Condiciones no la hacen hoy.]

17. Contacto

Para cualquier cuestión sobre este contrato, para pedir una copia de los datos o para comunicar un incidente de seguridad, el Responsable puede escribir a admin@nerela.eu. [PENDIENTE: decidir si Nerela designa un delegado de protección de datos (artículo 37 del RGPD) y una dirección propia para incidentes.]

Anexo I. Descripción del tratamiento

• Interesados: pacientes del Responsable, incluidos los menores a los que atienda; personas que piden cita en la página pública de reservas del Responsable; personas cuyos datos el Responsable registra en la ficha o en la facturación (por ejemplo, quien recibe la factura); personas que escriben al número de WhatsApp atendido por la Secretaria Virtual, si este módulo está activo; los profesionales y demás miembros del equipo del Responsable; y el asesor contable al que el Responsable envía informes.
• Datos identificativos y de contacto: nombre, iniciales, correo electrónico, teléfono, dirección y datos fiscales (número de identificación fiscal y nombre y dirección de facturación).
• Datos administrativos: citas (fecha, hora, duración, servicio, modalidad presencial u online, sala, profesional y estado), asistencias e inasistencias, pagos y facturas, entidad aseguradora o sistema de reembolso, profesional asignado y origen del paciente.
• Datos de salud (categoría especial, artículo 9 del RGPD): notas de sesión e imágenes adjuntas, antecedentes clínicos, señales de alerta y próximos pasos registrados en la ficha, y cualquier otra información clínica que introduzca el Responsable. El simple hecho de que alguien sea paciente de un psicólogo puede revelar información de salud.
• Comunicaciones: recordatorios, invitaciones y facturas enviados por correo electrónico a los pacientes y, si el Responsable usa WhatsApp, los mensajes de WhatsApp (recordatorios y conversaciones con la Secretaria Virtual).
• Datos técnicos: registros de acceso y de errores del servidor.
• Operaciones: recogida (por el Responsable o mediante la página de reservas), registro, organización, conservación, consulta, visualización, generación de documentos (facturas e informes), envío de correos electrónicos y de mensajes, exportación y supresión.
• Finalidad: prestar al Responsable el servicio de gestión de la consulta descrito en los Términos y Condiciones.
• Duración y conservación: mientras exista la cuenta y, después, según la cláusula 12. Mientras la cuenta está vigente, el Responsable decide durante cuánto tiempo conserva cada dato y puede suprimirlo en la Aplicación.
• Ubicación: base de datos, autenticación y archivos en la Unión Europea (París, Francia); las funciones del servidor de la Aplicación también se ejecutan en París. Los recursos estáticos y el enrutado de las peticiones pasan por la red global de Vercel, y los tratamientos fuera del EEE figuran en el Anexo III.
• Frecuencia: continua, mientras el Responsable use la Aplicación.

Anexo II. Medidas técnicas y organizativas

Medidas que existen hoy en la Aplicación. Nerela las revisa siempre que cambia el servicio.

• Cifrado en tránsito: toda la comunicación con la Aplicación usa HTTPS (TLS), con HSTS activo para que el navegador rechace las conexiones sin cifrar.
• Aislamiento entre cuentas en la propia base de datos: las tablas con datos de los clientes tienen políticas de Row Level Security (RLS) de PostgreSQL, que solo permiten leer y escribir las filas de las cuentas a las que pertenece el usuario. La separación no depende solo del código de la Aplicación.
• Niveles de acceso dentro de la cuenta (titular, gerente y colaborador): las fichas, las citas y las notas de sesión obedecen a una regla única aplicada en la base de datos; titular y gerente lo ven todo, y un colaborador ve los pacientes que tiene asignados y, si la cuenta lo permite, los que están compartidos con el equipo. La facturación, los gastos y las conversaciones de WhatsApp están reservados a titular y gerente, y las credenciales de servicios externos, al titular.
• Imágenes clínicas en un contenedor de almacenamiento privado, organizado por cuenta y protegido por RLS; solo se muestran mediante enlaces firmados que caducan a las 12 horas.
• Las credenciales de servicios externos que conecta el Responsable (programa de facturación certificado, ADSE) se guardan cifradas en la base de datos (pgcrypto), con la clave de cifrado fuera de la base de datos.
• Límites de frecuencia en los puntos de entrada públicos y en los envíos (reserva online, enlaces compartidos con el asesor contable, demostración pública y envíos de WhatsApp y de correo electrónico), con contadores en la base de datos.
• Los webhooks de los proveedores de pagos y de WhatsApp solo se aceptan con firma válida, y las tareas programadas exigen un secreto.
• Cabeceras de seguridad: la Aplicación no puede incrustarse en otros sitios, y el navegador recibe HSTS, nosniff, una política de referente y una política de permisos que bloquea la cámara, el micrófono y la ubicación.
• Minimización de lo que sale de la Aplicación: el calendario suscrito muestra solo un título genérico, nunca el nombre del paciente; el enlace de videoconsulta es un código aleatorio, revocable y limitado al horario de la consulta, que no revela el nombre del paciente ni las notas.
• La clave de servicio de la base de datos, que se salta la RLS, solo existe en el servidor y nunca llega al navegador. Las claves y los secretos están en las variables de entorno del alojamiento, nunca en el código.
• Monitorización de errores (si está activa) con filtrado antes del envío: sin cuerpo de las peticiones, parámetros, cookies, identidad del usuario ni grabación de sesión, y con un intento automático de quitar correos electrónicos, teléfonos y números fiscales del texto de los errores.
• En la Aplicación no hay publicidad ni herramientas de analítica de terceros.
• Secretaria Virtual (si está activa): el texto de quien envía mensajes está separado de las instrucciones del sistema, y las acciones sobre la agenda solo pueden afectar a las citas del propio remitente, identificado por su número internacional completo.
• Supresión efectiva: suprimir un paciente suprime sus citas, notas de sesión e imágenes clínicas, incluidos los archivos del almacenamiento.
• Acceso del personal de Nerela: en la Aplicación, solo los administradores de la plataforma tienen funciones internas. Entrar en la cuenta de un cliente para darle soporte solo es posible con ese permiso, y cada entrada queda anotada en un registro que no puede modificarse ni borrarse desde la Aplicación.
• Confidencialidad de las personas que tratan los datos (cláusula 5) y acceso al contenido de las cuentas solo en los casos de la cláusula 4.
• Procedimiento interno escrito de respuesta a incidentes, incluidas las violaciones de la seguridad de los datos personales.
• Copias de seguridad: las que hace el proveedor de la base de datos en el plan contratado por Nerela. [PENDIENTE: confirmar el plan de Supabase, la frecuencia y la retención de las copias de seguridad.]

Anexo III-A. Subencargados que tratan datos de pacientes

Lista a 9 de octubre de 2026. Las ubicaciones y las garantías son las que figuran en la documentación pública de cada proveedor.

Anexo III-B. Proveedores que no tratan datos de pacientes

Figuran aquí para que el Responsable sepa quién más interviene en el servicio. Tratan datos del propio profesional, respecto de los cuales Nerela es responsable del tratamiento.