Encargo del tratamiento

Este contrato cumple el artículo 28 del RGPD y el artículo 33 de la LOPDGDD. Se celebra entre el estudio que crea una cuenta en Inkadia («el responsable») y el titular de Inkadia («el encargado»), forma parte de los Términos y condiciones y se acepta con ellos.

Encargado del tratamiento

Titular

Francisco Díez Gutiérrez

NIF

71468802M

Domicilio

La Virgen del Camino, 24198 León, España

Email

admin@inkadia.es

Web

inkadia.es y app.inkadia.es

Objeto, duración y finalidad

El encargado trata, por cuenta del responsable, los datos personales de los clientes del estudio que el responsable introduce en Inkadia o que sus clientes introducen al firmar, con el único fin de prestarle el servicio contratado: agenda de citas, fichas de clientes, avisos por WhatsApp, consentimientos firmados electrónicamente y, si el responsable la activa, la sincronización con su Google Calendar.

El encargo dura lo mismo que la suscripción, más el tiempo en que la cuenta queda en solo lectura según el apartado Fin del encargo.

Datos y personas afectadas

Personas afectadas

• Clientes del estudio, incluidos menores de edad cuando el estudio los atiende.
• Madres, padres o tutores legales de los clientes menores.

Categorías de datos

• Identificación y contacto: nombre, apellidos, DNI o NIE, fecha de nacimiento, teléfono, email, dirección e Instagram.
• Datos del servicio: citas, técnica, zona del cuerpo, precio y señal, notas del estudio, imágenes de referencias y bocetos, y mensajes de WhatsApp enviados.
• Categorías especiales: datos de salud del cuestionario del consentimiento (contraindicaciones, alergias, medicación y observaciones).
• Firma manuscrita digitalizada del cliente y, en su caso, del tutor, y evidencias de la firma: IP, navegador, fecha y hora, y huellas SHA-256 del documento.

Operaciones

Recogida, registro, organización, conservación, consulta, modificación, comunicación al propio cliente (por WhatsApp y en la página de firma), exportación y supresión, a través de la aplicación.

Obligaciones del encargado

El encargado se compromete a:

1. Tratar los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato y lo que el responsable configura y hace en la aplicación. Si considera que una instrucción infringe la normativa, se lo dirá de inmediato.
2. No usar los datos para fines propios, no venderlos ni comunicarlos a terceros, salvo a los subencargados autorizados o cuando lo exija la ley, en cuyo caso avisará antes al responsable si la ley no lo prohíbe.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a mantener la confidencialidad. Solo acceden a la cuenta del responsable cuando él lo pide para resolver una incidencia, o cuando es imprescindible por seguridad o por obligación legal.
4. Aplicar las medidas de seguridad del apartado Seguridad.
5. Ayudar al responsable a atender los derechos de sus clientes. La aplicación permite consultar, corregir, exportar y suprimir los datos de cada cliente. Si un cliente se dirige al encargado, este enviará la petición al responsable en un máximo de cinco días hábiles y no la contestará por su cuenta.
6. Notificar al responsable, sin dilación indebida y en un máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad que afecte a sus datos, con la información disponible para que el responsable pueda notificarla a la AEPD y, en su caso, a los afectados.
7. Ayudar al responsable, con la información de que disponga, en las evaluaciones de impacto y las consultas previas a la AEPD que necesite.
8. Llevar el registro de actividades de tratamiento que hace por cuenta del responsable (art. 30.2 RGPD).
9. Poner a disposición del responsable la información necesaria para demostrar que cumple este contrato y permitir auditorías razonables, avisadas con 30 días de antelación, a cargo del responsable y sin acceder a datos de otros estudios.

Subencargados

El responsable autoriza de forma general al encargado a recurrir a los siguientes subencargados, que tratan datos de los clientes del estudio con contratos que les imponen las mismas obligaciones de este encargo:

El encargado avisará por email con al menos 15 días de antelación antes de añadir o sustituir un subencargado. El responsable puede oponerse por motivos razonables de protección de datos; si no se encuentra una solución, puede cancelar la suscripción antes de que se aplique el cambio. Las transferencias fuera del Espacio Económico Europeo se hacen con las garantías del capítulo V del RGPD, como se detalla en la Política de privacidad.

Si el responsable conecta su Google Calendar, los datos de las citas se envían a su propia cuenta de Google por instrucción suya. Google actúa entonces como proveedor del responsable, no como subencargado de Inkadia.

Seguridad

Teniendo en cuenta que se tratan datos de salud y de menores, el encargado aplica estas medidas técnicas y organizativas (art. 32 RGPD):

• Cifrado en tránsito (HTTPS) en todas las conexiones.
• Cifrado en reposo de los datos de salud, las copias firmadas de los consentimientos, el texto de los mensajes, los tokens de los enlaces de firma y los permisos de Google.
• Separación lógica de los datos de cada estudio, con pruebas automáticas que comprueban que un estudio no puede leer ni modificar los de otro.
• Imágenes y documentos en almacenamiento privado, accesibles solo con enlaces firmados que caducan.
• Contraseñas guardadas con hash bcrypt, sesiones con caducidad y límites de intentos en el inicio de sesión y en la página pública de firma.
• Copia del documento firmado que no se puede modificar, con huellas SHA-256 que permiten detectar cualquier alteración.
• Copias de seguridad periódicas de la base de datos.
• Acceso a los sistemas restringido al personal autorizado, con deber de confidencialidad.

Obligaciones del responsable

El responsable se compromete a:

1. Tener una base legal para tratar los datos de sus clientes y, para los datos de salud, una excepción del artículo 9.2 del RGPD (normalmente, el consentimiento explícito del cliente).
2. Informar a sus clientes del tratamiento. Inkadia muestra en el formulario de firma un texto informativo con los datos del estudio como responsable, que el estudio debe mantener al día con su razón social, NIF, dirección y contacto.
3. Revisar el contenido de sus plantillas de consentimiento, verificar la edad de sus clientes y el consentimiento del tutor de los menores según la normativa que le aplique.
4. Atender los derechos de sus clientes con las herramientas de la aplicación.
5. Usar los avisos por WhatsApp solo para las citas de sus clientes y supervisar el tratamiento.

Fin del encargo

Cuando termina la suscripción, la cuenta pasa a solo lectura para que el responsable pueda exportar los datos de sus clientes y descargar los consentimientos firmados. A los 12 meses de la cancelación, después de avisarle por email, el encargado suprime los datos y sus copias, salvo los que deba conservar bloqueados por obligación legal y solo durante ese plazo. El responsable puede pedir la supresión antes escribiendo a admin@inkadia.es. Las copias de seguridad se eliminan cuando terminan su ciclo de rotación.

Responsabilidad

Si el encargado usa los datos para otros fines, los comunica o incumple este contrato, será considerado también responsable del tratamiento y responderá de las infracciones en que haya incurrido personalmente (art. 28.10 RGPD).