Cláusulas contractuales tipo
Cuando un dato tratado por cuenta de una clínica europea puede ser accesible desde fuera del Espacio Económico Europeo, hace falta una garantía del capítulo V del RGPD. La nuestra son las cláusulas contractuales tipo de la Comisión Europea, y esta página dice exactamente cómo las aplicamos.
Versión vigente: 29 de agosto de 2026
Qué cláusulas
Las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, publicadas en el Diario Oficial de la Unión Europea L 199, de 7 de junio de 2021.
El texto íntegro y oficial está disponible en EUR-Lex, en todas las lenguas de la Unión.
Se incorporan al contrato con cada clínica por referencia y se entienden suscritas por ambas partes con la aceptación de las condiciones del servicio. Si prefieres firmarlas como documento separado, escríbenos a info@agendavia.com y te las enviamos.
Qué módulo
Módulo Dos: transferencia de responsable del tratamiento a encargado del tratamiento. La clínica actúa como exportadora de datos y Agendavia AI como importadora.
Cómo están rellenadas las opciones
| Cláusula | Opción elegida |
|---|---|
| 7 · Acoplamiento | Aplicable, para permitir que se adhieran nuevas partes |
| 9 · Subencargados | Opción 2: autorización general por escrito, con treinta (30) días naturales de preaviso y derecho de oposición |
| 11 · Reclamaciones | No se incorpora la cláusula opcional de organismo independiente. Los interesados conservan íntegro su derecho a reclamar ante la autoridad de control y ante los tribunales |
| 17 · Derecho aplicable | Derecho del Reino de España |
| 18 · Foro | Juzgados y tribunales de España, sin perjuicio del derecho del interesado a acudir a los de su residencia habitual |
Qué contienen los apéndices
| Anexo I.A · Partes | Exportadora: la clínica, con los datos facilitados en el alta. Importadora: Agendavia AI, Boca Raton, Florida, Estados Unidos, contacto info@agendavia.com |
|---|---|
| Anexo I.B · Descripción | La descripción del tratamiento del contrato de encargado |
| Anexo I.C · Autoridad de control | La Agencia Española de Protección de Datos, o la del Estado miembro de establecimiento de la clínica cuando sea otro |
| Anexo II · Medidas | Las medidas técnicas y organizativas del contrato de encargado, más las complementarias descritas abajo |
| Anexo III · Subencargados | La lista publicada en subencargados |
Medidas complementarias
Las cláusulas por sí solas no bastan: la sentencia Schrems II obliga a evaluar si la legislación del país de destino socava las garantías y, en su caso, a adoptar medidas adicionales. Las nuestras son:
- Cifrado en tránsito y en reposo, con claves gestionadas dentro de la Unión Europea y una clave distinta por clínica.
- Acceso remoto limitado al personal estrictamente necesario, nominativo, con doble factor y registrado en un log de auditoría que la clínica puede consultar.
- Prohibición técnica y contractual de descargar o copiar datos de pacientes fuera del Espacio Económico Europeo.
- El modelo de lenguaje no recibe identificadores: trabaja con referencias opacas, de modo que un acceso al tráfico del modelo no permitiría identificar a ningún paciente.
- Compromiso de oponernos por los cauces legales disponibles a cualquier requerimiento de acceso de una autoridad de un tercer país, y de notificarlo a la clínica salvo prohibición legal.
Si cambia el marco jurídico
Si la Comisión Europea adoptase una decisión de adecuación aplicable, podríamos ampararnos en ella. Si esa decisión fuese después suspendida o anulada, como ya ocurrió con Puerto Seguro en 2015 y con el Escudo de Privacidad en 2020, estas cláusulas recobrarían automáticamente plena aplicación, sin necesidad de firmar nada nuevo. Por eso no dependemos de ninguna decisión de adecuación como garantía única.