Contrato de encargado del tratamiento

Qué se hace con los datos de tus pacientes, y qué no.

PENDIENTE Borrador pendiente de revisión legal. Falta también decidir cómo se formaliza: hoy se acepta con la casilla del alta y queda registrada la fecha de la aceptación.

Las partes y el papel de cada una

• La óptica que contrata DoctorInforme es la responsable del tratamiento de los datos de sus pacientes: decide para qué se tratan y es quien se relaciona con ellos.
• DoctorInforme (el titular que figura en el aviso legal) es el encargado del tratamiento: trata esos datos por cuenta de la óptica, solo para prestarle el servicio y siguiendo sus instrucciones.

Este contrato dura lo mismo que la suscripción.

Objeto: para qué se tratan los datos

Únicamente para redactar el informe que el óptico está haciendo: leer lo que dicta o las imágenes que manda, ordenarlo, enseñárselo para que lo revise y generar el PDF. Los datos no se usan para ninguna otra finalidad, no se ceden y no se venden.

Qué datos se tratan

De los pacientes (datos de salud, categoría especial del art. 9 RGPD):

• Nombre y apellidos.
• Datos de la exploración: agudeza visual, graduación, presión intraocular y su fecha y hora, el motivo de la consulta o de la derivación, los hallazgos y la recomendación.
• Imágenes que el óptico decide adjuntar: capturas de su programa de gestión, retinografías, OCT u otras.

No se piden ni la fecha de nacimiento, ni el sexo, ni un número de identificación del paciente: el informe no los necesita, y un dato que no se pide no hay que protegerlo.

Del personal de la óptica:

• De cada óptico: nombre, número de colegiado, la imagen de su firma y su identificador de Telegram.
• De la óptica: nombre, CIF, dirección, ciudad, correo, teléfono (si lo da) y logo.

Dónde están los datos de los pacientes, y cuánto tiempo

• Mientras se redacta el informe, los datos están en un único registro de la base de datos, uno por óptico, y las imágenes del anexo en una carpeta del servidor.
• Se borran los dos a la vez en cuanto el informe se emite, se cancela o caduca (ver abajo). No se guarda ningún histórico de pacientes. Lo único que queda es un contador de cuántos informes se han emitido, sin ningún dato del paciente.
• El PDF se genera, se envía y se borra del servidor en el mismo momento. No se guarda copia.
• Un informe que se deja a medias y no se toca durante 2 horas se borra solo, como si se cancelara: sus datos y sus imágenes. Se comprueba cada pocos minutos, así que puede borrarse unos minutos después de cumplir las 2 horas. Se avisa al óptico, sin ningún dato del paciente en el aviso. Lo borrado no se puede recuperar.
• PENDIENTE Copias de seguridad. Hoy no se hace copia de la base de datos de DoctorInforme. Cuando se haga: tres veces al día, en el mismo servidor, borradas a los 7 días. Esas copias contendrán los informes que estuvieran a medias en el momento de la copia, que podrán vivir en ellas hasta 7 días.

Lo que queda en Telegram. El óptico usa el servicio desde su propia cuenta de Telegram, así que los mensajes que manda y el PDF que recibe quedan en su conversación con el bot, en su aplicación, bajo su control. Borrar esa conversación le corresponde al óptico. DoctorInforme no puede hacerlo por él.

Subencargados

Para prestar el servicio, DoctorInforme se apoya en estos proveedores:

• OpenAI: el modelo de inteligencia artificial que lee lo que dicta el óptico y las imágenes que manda. Se usa a través de su API, con la cuenta configurada con residencia de datos en Europa. Ve los datos del informe en curso (el texto y las imágenes que el óptico le manda para que los lea). PENDIENTE Citar las condiciones de OpenAI que aplican: su contrato de encargado, su política de retención de la API y que los datos no se usan para entrenar modelos.
• Telegram: el canal por el que el óptico habla con el bot. Todo lo que manda el óptico, y el PDF, pasa por sus servidores. PENDIENTE Encaje de Telegram como subencargado y si implica transferencias internacionales.
• Hetzner: el servidor (VPS) donde funcionan el bot y la base de datos, en un centro de datos en Alemania. Guarda todo lo que está en el servidor: los informes en curso y los datos de las cuentas.
• LucusHost: el dominio y el correo. El correo no lleva datos de pacientes: solo el alta, los códigos de activación, la comunicación con la óptica y los reportes de error que mandan los ópticos desde el bot. La única excepción es un reporte de error en el que el óptico escriba datos de un paciente pese a que el bot le pide expresamente que no lo haga; esos correos se borran del buzón en cuanto se resuelve el fallo. El buzón info@doctorinforme.com está alojado en LucusHost.

DoctorInforme avisará a la óptica por correo, con 15 días de antelación, antes de añadir o cambiar un subencargado que trate datos de sus pacientes (por ejemplo, si se cambia de proveedor de inteligencia artificial). Si la óptica no está de acuerdo, puede oponerse dándose de baja antes del cambio: no hay permanencia.

Medidas de seguridad

Las que tiene hoy el sistema:

• Revisión humana obligatoria: ningún informe se emite sin que el óptico vea la ficha completa y le dé el visto bueno.
• Solo conversaciones privadas: el bot no responde en grupos, para que los datos de un paciente no acaben a la vista de otras personas.
• Mínimo de datos: se borran en cuanto dejan de hacer falta, y no se piden datos que el informe no usa.
• La base de datos no es accesible desde internet: solo se comunica con el bot dentro del servidor. Las credenciales no están en el código.
• Registros sin datos de pacientes: cuando se descarta un valor, se registra qué campo fue y por qué, nunca el valor.
• Conexiones cifradas con Telegram, con OpenAI y con el servidor de correo.

Obligaciones de DoctorInforme como encargado

• Tratar los datos solo para prestar el servicio y siguiendo las instrucciones de la óptica.
• Que quien tenga acceso a ellos esté obligado a guardar confidencialidad.
• Ayudar a la óptica a atender los derechos de sus pacientes.
• Avisar a la óptica de cualquier brecha de seguridad que afecte a sus datos, sin dilación indebida, por correo.
• Facilitar la información necesaria para demostrar que cumple este contrato.

Obligaciones de la óptica como responsable

• Tener una base jurídica para tratar los datos de salud de sus pacientes, e informarles.
• Mandar al bot solo los datos que el informe necesita.
• Revisar cada informe antes de emitirlo.

Al terminar el contrato

De los pacientes no queda nada que devolver ni borrar: los datos se borran al emitir o cancelar cada informe. Los datos de la óptica y de sus ópticos (nombre, colegiado, firma y logo) se conservan salvo que la óptica pida su borrado, por si vuelve a contratar.

El borrado se pide escribiendo a info@doctorinforme.com, y se hace en un máximo de 15 días. Se confirma por correo cuando está hecho. PENDIENTE Que el abogado valide el motivo de conservar esos datos después de terminar el contrato.

Cambios

Última actualización: FECHA.