Contrato de encargado del tratamiento

Este es el acuerdo que exige el artículo 28 del RGPD entre tu clínica, que es la responsable de los datos de sus pacientes, y nosotros, que los tratamos por cuenta tuya. Se acepta junto con las condiciones del servicio y forma parte inseparable de ellas. Está publicado entero para que tu delegado de protección de datos pueda leerlo antes de que firmes nada.

Versión vigente: 1.0 · 29 de agosto de 2026

1. Quién es quién

La clínica es la responsable del tratamiento. Decide para qué y cómo se tratan los datos de sus pacientes, y es la titular de la información.

Agendavia AI es la encargada del tratamiento. Trata esos datos únicamente por cuenta de la clínica y siguiendo sus instrucciones documentadas.

Contacto de protección de datos: info@agendavia.com. Representante en la Unión Europea: G&B Abogados · info@galindobarrioabogados.com.

2. Objeto, duración, naturaleza y finalidad

Objeto	Prestación del servicio de asistente de voz Agendavia: atención telefónica, gestión de citas y comunicaciones con el paciente relacionadas con esas citas
Naturaleza	Recogida, registro, estructuración, conservación, consulta, modificación, comunicación por transmisión, limitación y supresión, por medios automatizados
Finalidad	Atender las llamadas de la clínica, identificar al paciente, consultar la agenda, agendar, reprogramar y cancelar citas, enviar recordatorios y confirmaciones, ofrecer huecos liberados y derivar a una persona cuando proceda
Duración	Mientras esté vigente el contrato de servicio, más los plazos de la cláusula 11

Tipo de datos personales

Identificativos y de contacto: nombre y apellidos, número de teléfono, año o fecha de nacimiento, identificador interno del paciente en el software de la clínica.
Datos de cita: fecha y hora, tipo de cita, profesional, gabinete, estado de la cita.
Datos de la llamada: fecha, duración, resultado y motivo de derivación en su caso.
Categoría especial (art. 9 RGPD): el hecho mismo de solicitar asistencia sanitaria y el tipo de cita revelan datos relativos a la salud. Todo el tratamiento se diseña y se opera bajo esa hipótesis.

Qué no tratamos: no accedemos a la historia clínica, ni a diagnósticos, anamnesis, prescripciones, resultados de pruebas, documentación clínica, datos de facturación ni de aseguradora. No es una promesa contractual: las credenciales con las que nos conectamos a tu software tienen permisos limitados y una lista blanca de operaciones, y las demás devuelven error.

Categorías de interesados

Pacientes de la clínica y personas que llamen en su nombre.
Personal de la clínica con acceso al panel.

3. Instrucciones de la clínica

Son instrucciones documentadas de la clínica: este contrato y sus anexos, las condiciones del servicio, la configuración que la clínica establezca en el panel (horarios, tipos de cita, profesionales, destino de derivación, canal de recordatorios, nivel de autonomía del asistente) y cualquier instrucción adicional remitida por escrito a info@agendavia.com.

Si consideramos que una instrucción infringe la normativa de protección de datos, te lo diremos de inmediato y podremos suspender su ejecución hasta que la confirmes o la modifiques por escrito.

4. Nuestras obligaciones

Tratar los datos únicamente siguiendo tus instrucciones documentadas, incluso en materia de transferencias internacionales.
Garantizar que todas las personas autorizadas a tratar los datos están sujetas a deber de secreto, equivalente al secreto profesional sanitario, que subsiste tras el fin de la relación.
Aplicar las medidas de seguridad del artículo 32, descritas en la cláusula 9.
Respetar las condiciones de subcontratación de la cláusula 7.
Asistirte para que puedas atender el ejercicio de los derechos de tus pacientes.
Ayudarte a cumplir los artículos 32 a 36: seguridad, notificación de brechas y evaluación de impacto.
A tu elección, suprimir o devolverte todos los datos al terminar el servicio.
Poner a tu disposición toda la información necesaria para demostrar el cumplimiento y permitir auditorías.
Llevar el registro de actividades del encargado del artículo 30.2 y ponerlo a tu disposición.

No usamos los datos de tus pacientes para fines propios, no los comercializamos y no los cedemos a nadie salvo a los subencargados publicados.

5. Violaciones de seguridad

Te avisaremos sin dilación indebida y en todo caso dentro de las 24 horas siguientes a que tengamos conocimiento de cualquier violación de seguridad que afecte a tus datos. Ese plazo existe para que puedas cumplir el tuyo de 72 horas ante la autoridad de control.

El aviso incluirá, en la medida en que se conozca: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, contacto de nuestra Delegada de Protección de Datos, consecuencias probables y medidas adoptadas. Si no lo sabemos todo de inmediato, te lo iremos ampliando sin esperar a tenerlo completo.

La decisión de notificar a la autoridad y a los pacientes es tuya, como responsable. Nosotros te damos todo lo que necesites para tomarla.

6. Derechos de los pacientes

Si un paciente nos pide directamente ejercer sus derechos, no le responderemos nosotros: te trasladaremos su solicitud en un máximo de cinco días hábiles, con la información de que dispongamos, y se lo confirmaremos a él.

El panel te da las funciones necesarias para localizar, exportar, rectificar y suprimir la información de un paciente concreto por ti mismo.

7. Subencargados

Nos autorizas de forma general y por escrito a subcontratar a los proveedores publicados en subencargados, lista pública y permanentemente actualizada.

Cualquier alta o sustitución te la comunicaremos con treinta (30) días naturales de antelación por correo electrónico. Durante ese plazo puedes oponerte de forma motivada. Si no llegamos a un acuerdo, puedes resolver el contrato sin penalización y con devolución de la parte proporcional no consumida.

Imponemos a cada subencargado, por contrato escrito, las mismas obligaciones que asumimos aquí, y respondemos ante ti de su incumplimiento como si fuera nuestro.

8. Transferencias internacionales

Los datos se alojan y tratan dentro de la Unión Europea. Toda la cadena de la llamada (telefonía, reconocimiento de voz, modelo de lenguaje, voz sintética y base de datos) está en región europea.

El soporte y la administración del servicio los presta habitualmente un equipo en España. Solo de forma excepcional, cuando una incidencia requiere revisión técnica especializada, interviene personal nuestro desde Estados Unidos para ese caso concreto. Nos comprometemos a que ningún acceso a tus datos se produzca desde un país distinto de Estados Unidos o del Espacio Económico Europeo, y ese acceso excepcional se realiza con las mismas garantías que el habitual: persona identificada, doble factor, registro de auditoría que puedes consultar y prohibición de descarga o copia local.

Conforme al criterio del Comité Europeo de Protección de Datos eso es una transferencia internacional aunque los datos no se muevan de sitio, y por eso se ampara expresamente.

Para ampararla suscribimos contigo las Cláusulas Contractuales Tipo de la Decisión (UE) 2021/914, Módulo Dos, con las medidas complementarias allí descritas. En caso de conflicto entre esas cláusulas y cualquier otra estipulación, prevalecen ellas.

9. Medidas de seguridad

Cifrado en tránsito (TLS 1.2 o superior) y en reposo, incluidas las copias de seguridad, con claves gestionadas en la Unión Europea.
Una clave de cifrado propia por clínica. Al terminar la relación destruimos la tuya, con lo que tus datos dejan de ser legibles de forma irreversible, y te damos certificado.
Separación estricta entre clínicas: en base de datos, en claves, en credenciales, en registros y en copias de seguridad. Una prueba automática lo verifica en cada despliegue.
Identificación de la clínica por el número marcado, antes de que exista conversación, nunca por lo que se diga en ella.
El modelo de lenguaje no recibe identificadores. Trabaja con referencias opacas y textos ya preparados; la correspondencia con la identidad real solo ocurre dentro de nuestra infraestructura.
Verificación en dos datos antes de revelar información de una cita. Ante un fallo, el asistente no confirma ni niega que la persona sea paciente.
Por defecto no se graba el audio ni se conserva la transcripción literal. Solo se guarda lo necesario para dejar la cita puesta y elaborar el informe de la llamada.
Registro de auditoría de cada operación: qué se hizo, sobre qué clínica, sobre qué paciente y cuándo.
Privilegio mínimo en las credenciales contra tu software, con lista blanca de operaciones.
Doble factor para todo acceso administrativo, copias de seguridad dentro de la Unión Europea y procedimiento documentado de gestión de incidentes.

10. Auditoría

Puedes auditar el cumplimiento de este contrato, tú o un auditor independiente sujeto a confidencialidad, con treinta días de preaviso y una vez cada doce meses, salvo que haya un incidente que lo justifique. Se hará en horario laboral, sin interrumpir el servicio y sin acceso a datos de otras clínicas.

Podemos atender esta obligación aportando informes de auditoría o certificaciones vigentes, propias o de nuestros proveedores, cuando cubran lo que quieres comprobar.

11. Devolución y supresión

Puedes exportar tus datos desde el panel en cualquier momento, gratis, en formato abierto.

Al terminar el contrato, y a tu elección, te los devolvemos o los suprimimos. Si no nos dices nada, los conservamos treinta (30) días por si quieres recuperarlos, y después destruimos la clave de cifrado de tu clínica. Te enviamos certificado de destrucción.

Solo conservaremos lo que una obligación legal nos exija, y únicamente durante el plazo que esa obligación imponga.

12. Inteligencia artificial

El asistente se identifica como sistema de inteligencia artificial en el primer turno de cada llamada, conforme al artículo 50 del Reglamento (UE) 2024/1689. Ese aviso no se puede desactivar.

Los datos de tus pacientes no se usan para entrenar ni ajustar modelos, ni por nosotros ni por nuestros proveedores, y así está pactado contractualmente con ellos.

El asistente no valora síntomas, no hace triaje, no prioriza por gravedad y no analiza emociones. La reocupación de huecos de la lista de espera se ordena por criterios estrictamente no clínicos: orden de inscripción y disponibilidad horaria declarada.

La derivación a una persona ante cualquier asunto clínico la dispara una regla determinista, no una decisión del modelo.

13. Ayuda que te damos para cumplir

Sin coste adicional, y porque el artículo 28.3.f) nos obliga a asistirte:

Evaluación de impacto pre-elaborada, lista para que la revises, particularices y firmes.
Mapa de flujos de datos de una llamada, versionado.
Cláusula informativa para tus pacientes y texto de la locución inicial.
Registro de actividades del encargado, para que lo anexes al tuyo.
Formación básica en inteligencia artificial para tu recepción, conforme al artículo 4 del Reglamento (UE) 2024/1689.

Pídenoslo en info@agendavia.com y te lo enviamos, también antes de contratar.

14. Ley aplicable

Este contrato de encargado y las cláusulas contractuales tipo se rigen por el Derecho del Reino de España y se someten a los juzgados y tribunales españoles, con independencia de lo que dispongan las condiciones del servicio para el resto de la relación.

Ello no afecta al derecho de cualquier paciente a reclamar ante la autoridad de control de su país ni ante los tribunales de su residencia habitual.