Contrato de encargo de tratamiento (DPA)

1. Partes

Encargado: Bryan Jeremy Encalada Mejia, persona natural con RUC 1105844995001, domicilio en Loja, Ecuador, operador de OdentCore. Responsable: la clínica que contrata el servicio y acepta este documento al crear o activar su cuenta.

2. Objeto y duración

La clínica encarga al proveedor el tratamiento de los datos personales necesarios para prestar el software de gestión dental. El encargo dura mientras la suscripción esté activa y el plazo necesario para la devolución o eliminación segura, salvo obligación legal de conservación.

3. Datos, personas y finalidad

El encargo incluye datos identificativos y de contacto de pacientes, datos de salud (alergias, medicación, antecedentes, odontograma, notas, procedimientos y archivos clínicos), datos de facturación y datos de los profesionales de la clínica. La finalidad es exclusivamente prestar el servicio: alojar, organizar, mostrar, facturar, generar reportes y mantener la seguridad. El encargado no usará los datos para fines propios, publicidad ni venta.

4. Obligaciones del encargado

• Tratar los datos solo siguiendo instrucciones documentadas de la clínica.
• Mantener la confidencialidad del personal autorizado.
• Aplicar medidas técnicas y organizativas razonables de seguridad.
• Asistir a la clínica en la atención de derechos y evaluaciones de impacto.
• Notificar incidentes de seguridad sin demora indebida.
• Devolver o eliminar los datos al terminar, según la política de conservación.

5. Subencargados y transferencia

La clínica autoriza el uso de Supabase para base de datos, autenticación, correo de invitación y almacenamiento, alojado en Oregón, Estados Unidos (us-west-2), y del proveedor de hosting de la aplicación que se identifique antes de publicar. Esto implica una transferencia internacional desde Ecuador a Estados Unidos. El encargado mantendrá contratos que impongan obligaciones equivalentes y comunicará cambios relevantes de subencargados.

6. Obligaciones de la clínica

La clínica declara ser la responsable del tratamiento, contar con base legal y consentimientos informados —incluidos los de representantes legales de menores—, cargar datos veraces y limitar el acceso de su personal según sus roles. También es responsable de atender los derechos de sus pacientes y de comunicar al encargado las instrucciones necesarias.

7. Seguridad e incidentes

El acceso está separado por clínica, protegido por autenticación y permisos por rol, con cifrado en tránsito y registro de auditoría. Si ocurre un incidente que afecte datos personales, el encargado informará a la clínica sin demora indebida, con la información disponible, y colaborará en la evaluación y las notificaciones que correspondan.

8. Terminación y devolución

Al terminar la suscripción, la clínica podrá exportar sus datos durante el plazo de acceso acordado. Después, el encargado eliminará o devolverá los datos en un plazo de 30 días, salvo obligación legal de conservarlos. Los backups se eliminan conforme a su ciclo de 30 días.

9. Auditoría y responsabilidad

La clínica puede solicitar información razonable sobre las medidas de seguridad. Cada parte responde por el incumplimiento de sus obligaciones. La responsabilidad del encargado se limita a los importes pagados en los tres meses anteriores, salvo dolo, fraude o normas irrenunciables.

10. Aceptación y ley aplicable

Este DPA se acepta electrónicamente junto con los términos, registrando usuario, clínica, versión y fecha. Se rige por las leyes de Ecuador y las controversias se someten a los tribunales de Loja, sin perjuicio de los derechos irrenunciables del consumidor. Contacto: [email protected].