ACUERDO DE TRATAMIENTO DE DATOS (DPA)
(Data Processing Agreement)
Entre FISIOAGENDA, como encargada del tratamiento, y el Usuario, como responsable
El presente Acuerdo desarrolla, conforme al artículo 2, fracción XII, de la Ley Federal de Protección de Datos Personales en Posesión de Particulares (en adelante, la Ley), los términos bajo los cuales FisioAgenda trata datos personales de Pacientes por cuenta e instrucciones del Usuario, en ejecución del numeral 10.4 y demás disposiciones aplicables de los Términos y Condiciones, y del numeral 6 del Aviso de Privacidad. Forma parte integral de dichos instrumentos.
1. OBJETO DEL TRATAMIENTO
FisioAgenda tratará, por cuenta del Usuario, los datos personales de los Pacientes estrictamente necesarios para la prestación del Servicio conforme a los Términos y Condiciones, incluyendo la integración y conservación del expediente clínico y la captura de la firma electrónica de consentimientos y documentos clínicos.
2. CATEGORÍAS DE DATOS PERSONALES
Estas son las categorías respecto de los datos personales que FisioAgenda tratara en su calidad de encargada:
1. Datos de identificación y contacto del Paciente.
2. Datos de salud: antecedentes clínicos, diagnóstico, tratamiento y evolución (datos personales sensibles).
3. Metadata técnica de firma electrónica, conforme al numeral 14 de este Acuerdo.
4. Datos de facturación del Paciente, en su caso.
3. CATEGORÍAS DE TITULARES
Con fundamento en el artículo 2, fracción XVIII, son titulares en términos de la Ley, los Pacientes que así sean identificados y/o registrados que reciben servicios de fisioterapia del Usuario a través de FisioAgenda.
Pacientes que reciben servicios de fisioterapia del Usuario a través de FisioAgenda, incluidos, en su caso, Pacientes menores de edad, respecto de quienes el consentimiento y el ejercicio de derechos se realiza por conducto de quien ejerza su patria potestad o tutela, conforme al artículo 8 de la Ley.
4. INSTRUCCIONES DEL RESPONSABLE
FisioAgenda tratará los datos de Pacientes exclusivamente conforme a las instrucciones documentadas del Usuario, contenidas en los Términos y Condiciones y en la configuración que el propio Usuario realice dentro de FisioAgenda. Toda instrucción adicional deberá constar por escrito. Si, a juicio de FisioAgenda, alguna instrucción resultara contraria a la Ley o a otra disposición aplicable, lo hará del conocimiento del Usuario antes de ejecutarla.
5. FINALIDADES
Las descritas en el numeral 4 de la Parte II de este documento (integración del expediente clínico, prestación del servicio, documentación del consentimiento, facturación), y el doble propósito de la metadata de firma electrónica descrito en el numeral 14 de este Acuerdo.
6. DURACIÓN
Este Acuerdo estará vigente mientras subsista la relación entre FisioAgenda y el Usuario conforme a los Términos y Condiciones, y durante el plazo adicional de conservación previsto en el numeral 26 (Terminación) de este Acuerdo.
7. MEDIDAS DE SEGURIDAD
Aplican a los datos de Pacientes las mismas medidas de seguridad administrativas, técnicas y físicas descritas en el numeral 7 del Aviso de Privacidad.
8. CONFIDENCIALIDAD
FisioAgenda se obliga, y obliga a su personal con acceso a datos de Pacientes, a guardar confidencialidad respecto de dichos datos, incluso después de terminada la relación con el Usuario, conforme al numeral 19 de los Términos y Condiciones, salvo las obligaciones de cooperación que tenga FisioAgenda cuando así sea requerida por autoridad competente que requiera información alguna que se encuentre resguardada en nuestros sistemas.
9. SUBENCARGADOS
FisioAgenda podrá subcontratar a terceros (“Subencargados”) para el tratamiento de datos de Pacientes, exclusivamente para cumplir el objeto de este Acuerdo, siempre que dichos Subencargados asuman, mediante instrumento escrito, obligaciones de protección de datos personales equivalentes a las aquí previstas. FisioAgenda será responsable frente al Usuario por el cumplimiento de dichas obligaciones por parte de sus Subencargados. Por decisión de FisioAgenda, los Subencargados no se identifican individualmente en este documento; el Usuario podrá solicitar dicha información mediante el correo señalado en el numeral 9 del Aviso de Privacidad.
Los Terceros autorizados que el Usuario habilite directamente dentro de la Plataforma conforme a la Cláusula 13 de los Términos y Condiciones —incluyendo a su contador o asesor contable— no tienen el carácter de Subencargados de FisioAgenda para efectos de este Acuerdo. Dicho acceso es configurado y autorizado directamente por el Usuario, quien es responsable de la relación jurídica con dicho Tercero autorizado, sin intervención de FisioAgenda más allá de la facilitación técnica del acceso.
10. TRANSFERENCIAS INTERNACIONALES
En caso de que algún Subencargado se encuentre fuera de territorio mexicano, FisioAgenda se asegurará de que dicho Subencargado asuma obligaciones de protección de datos personales sustancialmente equivalentes a las previstas en la Ley, en los términos del numeral 9 anterior, sin que ello constituya una transferencia sujeta al consentimiento del Paciente, al mantenerse el tratamiento dentro del esquema responsable-encargado-subencargado.
11. INCIDENTES DE SEGURIDAD
FisioAgenda notificará al Usuario sin dilación injustificada al tener conocimiento de una vulneración de seguridad que afecte datos de Pacientes, conforme al numeral 23.4 de los Términos y Condiciones y al artículo 19 de la Ley, proporcionándole la información necesaria para que el Usuario, en su calidad de responsable, cumpla sus propias obligaciones de notificación frente al Paciente.
12. DERECHOS ARCO Y COOPERACIÓN
Cuando un Paciente ejerza directamente ante FisioAgenda derechos ARCO respecto de datos que ésta trata como encargada, FisioAgenda lo canalizará al Usuario dentro de 3 días hábiles siguientes, y colaborará razonablemente con el Usuario para que éste pueda atender la solicitud dentro de los plazos legales aplicables conforme a los artículos 31 y 34 de la Ley.
Cuando la solicitud sea formulada por quien afirme ejercer la patria potestad o tutela de un Paciente menor de edad, FisioAgenda podrá solicitar al Usuario que confirme dicha calidad antes de canalizar o dar trámite a la solicitud.
13. TERMINACIÓN
Al término de la relación entre FisioAgenda y el Usuario, por cualquier causa, resulta aplicable el mecanismo previsto en la Cláusula 27 de los Términos y Condiciones: FisioAgenda pondrá a disposición del Usuario los mecanismos de exportación manual desde su perfil por un plazo de hasta noventa días hábiles posteriores a la terminación. Transcurrido dicho plazo sin que el Usuario haya exportado su información, FisioAgenda realizará un último respaldo de la información, en las condiciones en que se encuentre, y lo enviará a la cuenta de correo electrónico registrada en el sistema, pudiendo proceder después a eliminar los datos de sus sistemas activos, sin perjuicio de las copias que deba conservar por obligación legal o requerimiento de autoridad competente, y sin perjuicio de la obligación de conservación mínima de cinco años del expediente clínico que corresponde de forma independiente al propio Usuario.
14. METADATA TÉCNICA DE FIRMA ELECTRÓNICA
Cada vez que el Paciente firma electrónicamente un documento dentro de FisioAgenda, ésta captura y conserva la siguiente metadata técnica, con el fin de acreditar la integridad, atribución y cadena de custodia del documento firmado:
I. Dirección IP y user agent del dispositivo utilizado.
II. Marca temporal (timestamp) de la firma.
III. Hash criptográfico del documento firmado y de la imagen de la firma.
IV. Método de captura de la firma (por ejemplo, mouse, touch o stylus).
V. Snapshot inmutable del documento en su versión exacta al momento de la firma.
VI. Geolocalización aproximada, únicamente si el Paciente otorga permiso explícito para compartirla.
VII. Huella técnica del dispositivo (device fingerprint).
FisioAgenda trata esta metadata como encargada del Usuario, quien la autoriza expresamente a conservarla más allá de la terminación de la relación (dentro del plazo previsto en el numeral 13 anterior) con el doble propósito de (i) acreditar el consentimiento otorgado por el Paciente, y (ii) permitir a FisioAgenda acreditar la integridad técnica de su propio mecanismo de firma electrónica ante cualquier controversia o requerimiento de autoridad, conforme a los artículos 89, 90 y 93 del Código de Comercio.
Cuando la firma electrónica sea otorgada por quien ejerza la patria potestad o tutela de un Paciente menor de edad, FisioAgenda capturará adicionalmente el nombre y la relación de dicha persona con el Paciente, como parte de la metadata técnica descrita en este numeral, a efecto de acreditar que el consentimiento fue otorgado por la persona legalmente facultada para ello.