Partes
Responsable del tratamiento: la clínica o el profesional que crea una cuenta en Vivenfisio y acepta este contrato. Sus datos identificativos son los que figuran en su cuenta (apartado «Datos legales» de la configuración de la clínica).
Encargado del tratamiento: Miguel Bartret Gutiérrez, persona física titular de Vivenfisio (en adelante, «Vivenfisio»). Contacto: info@vivenfisio.es.
1. Objeto
Vivenfisio tratará los datos personales necesarios para prestar a la clínica el servicio de software que ha contratado: gestión de pacientes, historia clínica, planes de ejercicio, área personal del paciente con sesiones guiadas y vídeos de los ejercicios, mensajería y asistente de IA.
2. Duración
Este contrato dura lo mismo que la cuenta de la clínica en Vivenfisio. Las obligaciones de confidencialidad continúan después de que termine.
3. Qué se trata y de quién
- Personas afectadas: pacientes de la clínica y sus representantes legales; profesionales y personal de la clínica.
- Datos: identificativos y de contacto; datos de salud (historia clínica, diagnóstico, planes de ejercicio, sesiones realizadas y su duración, dolor y valoraciones, notas de sesión, mensajes); descuentos por constancia; datos de acceso de los profesionales.
- Operaciones: recogida, registro, organización, conservación, consulta, modificación, comunicación al propio paciente a través de su área, supresión y, a petición de la clínica, exportación.
4. Obligaciones de Vivenfisio
- Tratar los datos solo para prestar el servicio y siguiendo las instrucciones documentadas de la clínica, que son este contrato y el uso que la clínica hace de la aplicación. Si una instrucción le parece contraria a la normativa, avisará a la clínica.
- No usar los datos para fines propios, no venderlos y no comunicarlos a terceros salvo a los subencargados de la cláusula 6 o por obligación legal.
- Garantizar que las personas autorizadas a acceder a los datos se han comprometido por escrito a mantener la confidencialidad.
- Aplicar las medidas de seguridad de la cláusula 7.
- Ayudar a la clínica a responder las solicitudes de derechos de los pacientes (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un paciente se dirige a Vivenfisio, se lo comunicará a la clínica en un máximo de 5 días hábiles.
- Notificar a la clínica cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y en un máximo de 48 horas desde que tenga conocimiento, con la información necesaria para que la clínica pueda cumplir su propio deber de notificar a la autoridad y a los afectados.
- Ayudar a la clínica, cuando sea necesario, en evaluaciones de impacto y consultas previas a la autoridad.
- Llevar un registro de las actividades de tratamiento que realiza por cuenta de la clínica.
- Poner a disposición de la clínica la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, avisadas con antelación suficiente.
5. Obligaciones de la clínica
- Disponer de una base legal para tratar los datos de sus pacientes e informarles. El área personal del paciente muestra un aviso de privacidad con los datos de la clínica y recoge su consentimiento antes de mostrar información de salud.
- Mantener correctos sus datos legales en la configuración de la clínica.
- Dar acceso solo a su personal autorizado, con el rol adecuado, y custodiar sus contraseñas y los enlaces personales de sus pacientes.
- Revisar siempre los planes propuestos por el asistente de IA antes de enviarlos: la decisión clínica es del profesional.
6. Subencargados
La clínica autoriza de forma general que Vivenfisio recurra a los siguientes proveedores, con los que Vivenfisio tiene firmadas obligaciones equivalentes a las de este contrato:
| Proveedor | Servicio | Ubicación y garantías |
|---|---|---|
| Supabase Inc. | Base de datos, autenticación y funciones del servidor | Servidores en la Unión Europea (Irlanda, región eu-west-1) |
| Netlify Inc. | Alojamiento de la aplicación web | Red global; cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU. |
| Anthropic PBC | Asistente de IA (solo si la clínica lo usa). Recibe la descripción clínica sin nombre ni datos de contacto | EE. UU.; cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU. |
| Google Ireland Ltd. | Correo electrónico de soporte | UE; mismas garantías para posibles transferencias |
Vivenfisio avisará a la clínica con al menos 30 días de antelación antes de añadir o sustituir un subencargado. Si la clínica se opone por motivos razonables de protección de datos, podrá dar de baja el servicio sin penalización.
7. Medidas de seguridad
- Conexiones cifradas (HTTPS/TLS) y datos cifrados en reposo por el proveedor de base de datos.
- Aislamiento por clínica: reglas en la propia base de datos impiden que una clínica acceda a datos de otra.
- Control de acceso por roles: cada fisioterapeuta solo ve a sus pacientes; el responsable de la clínica gestiona el equipo y ve la adherencia de los pacientes de su clínica.
- Contraseñas guardadas con algoritmos de hash; nadie puede leerlas.
- Enlaces personales de paciente con un código aleatorio de 128 bits, que solo dan acceso al área de ese paciente y no muestran datos de salud hasta que acepta el aviso de privacidad.
- Las claves de servicios externos (como la de IA) solo existen en el servidor, nunca en el navegador.
- Registro de consentimientos de los pacientes (versión, fecha y dispositivo).
8. Fin del servicio
Cuando la clínica se dé de baja, podrá exportar sus datos durante los 30 días siguientes. Después, Vivenfisio los suprimirá, salvo los que una ley le obligue a conservar, que quedarán bloqueados y solo disponibles para jueces, tribunales o autoridades competentes.
La clínica sigue siendo responsable de conservar la historia clínica de sus pacientes durante el plazo que exige la normativa sanitaria (como mínimo cinco años desde la fecha de alta de cada proceso asistencial, o el plazo mayor que fije su comunidad autónoma).
9. Responsabilidad
Si Vivenfisio usa los datos para otra finalidad, los comunica o incumple este contrato, será considerado también responsable del tratamiento y responderá de las infracciones en las que haya incurrido personalmente.
10. Ley aplicable
Este contrato se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales y el resto de la legislación española.