Anexo de encargado del tratamiento
Última actualización: 15 de agosto de 2026 — Versión 1.0
Este anexo regula el tratamiento de datos personales que PhotoFlux realiza por cuenta de la clínica y cumple lo exigido por el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD). Forma parte integrante de las Condiciones de uso y se acepta junto con ellas en el momento de la contratación, con constancia de fecha y versión.
Conforme al artículo 28.9 del RGPD, este anexo consta por escrito en formato electrónico, por lo que no requiere firma manuscrita. Si la Clínica necesita un ejemplar firmado para su expediente de cumplimiento, puede solicitarlo en contact@photoflux.org.
1. Partes
| Papel | Parte |
|---|---|
| Responsable del tratamiento | La clínica o profesional que contrata el Servicio (en adelante, "la Clínica") |
| Encargado del tratamiento | Diego Berrocal, NIF 49959523G, con domicilio en Avenida Diagonal 523, 08029 Barcelona (España), y dirección de contacto contact@photoflux.org (en adelante, "el Encargado") |
La Clínica determina los fines y los medios del tratamiento de los datos de sus pacientes. El Encargado los trata únicamente en la medida y con el alcance descritos en este anexo.
2. Alcance: lo que el Encargado no trata
PhotoFlux está diseñado para que las fotografías clínicas y los datos de los pacientes permanezcan en los equipos de la Clínica. En concreto:
- Las fotografías se almacenan en el ordenador donde se instala la aplicación de escritorio.
- La transmisión desde los dispositivos móviles se realiza directamente al ordenador emparejado a través de la red local, mediante conexiones autenticadas.
- Ni las fotografías ni las fichas de pacientes se transmiten, replican ni almacenan en la infraestructura del Encargado en ningún momento.
Por tanto, el Encargado no tiene acceso a las imágenes clínicas ni a las fichas de pacientes, y no puede acceder a ellas ni siquiera a petición de la Clínica. Las obligaciones de este anexo se refieren exclusivamente a los tratamientos accesorios del apartado 3.
3. Tratamientos comprendidos
| Actividad | Categorías de datos | Interesados | Finalidad |
|---|---|---|---|
| Gestión de la licencia | Clave de licencia, identificador de la instalación, estado de la suscripción | Personal de la Clínica | Verificar que la licencia está activa y habilitar o deshabilitar el Servicio |
| Atención de incidencias | Descripción escrita por quien reporta, dirección de correo de contacto, versión de la aplicación, sistema operativo y extracto de registros técnicos | Personal de la Clínica y, de forma incidental, cualquier dato que quien reporta decida incluir en el texto | Diagnosticar y resolver la incidencia comunicada |
| Asistente de ayuda | Texto de las consultas y contexto técnico de la instalación | Personal de la Clínica y, de forma incidental, cualquier dato que se incluya en la consulta | Resolver dudas sobre el funcionamiento del producto |
Los registros técnicos que la aplicación adjunta a una incidencia se generan de forma que consignan recuentos y no identidades (por ejemplo, el número de pacientes afectados por una operación, nunca sus nombres), y se someten a un proceso automático de ocultación de claves de licencia, credenciales, direcciones de correo y rutas del sistema antes de salir del equipo. Pese a ello, el campo de texto libre puede recoger lo que quien reporta escriba, motivo por el cual este anexo lo contempla.
Naturaleza del tratamiento: recogida, registro, consulta y supresión. No se realizan decisiones automatizadas ni elaboración de perfiles.
4. Duración
Este anexo permanece en vigor mientras la Clínica mantenga una suscripción activa y, respecto de las incidencias abiertas, hasta su cierre y la posterior supresión conforme al apartado 10.
5. Obligaciones del Encargado
El Encargado se compromete a:
- Tratar los datos personales únicamente siguiendo las instrucciones documentadas de la Clínica, que se entienden recogidas en este anexo y en las Condiciones de uso. No utilizará los datos para fines propios, ni para entrenar modelos, ni los cederá a terceros distintos de los subencargados del apartado 6.
- Informar a la Clínica si, en su opinión, una instrucción infringe la normativa de protección de datos.
- Garantizar que las personas autorizadas a tratar los datos se comprometen a respetar la confidencialidad, obligación que subsiste tras el fin de la relación.
- Aplicar las medidas técnicas y organizativas del artículo 32 del
RGPD, que a la fecha de este anexo incluyen:
- Arquitectura que mantiene las imágenes clínicas en la red local de la Clínica, sin réplica en servidores del Encargado.
- Cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones con la infraestructura del Encargado.
- Autenticación mediante credencial en los servicios accesibles desde la red local de la Clínica.
- Ocultación automática de credenciales e identificadores en los registros técnicos antes de su envío.
- Repositorio de incidencias privado y credenciales de mínimo privilegio para cada integración.
- Escrituras atómicas en disco para preservar la integridad de los datos ante interrupciones.
- No dar de alta subencargados distintos de los previstos sin cumplir el apartado 6.
6. Subencargados
La Clínica autoriza al Encargado a recurrir a los subencargados enumerados en el apartado 4 de la Política de privacidad, que se incorpora aquí por referencia y contiene, para cada proveedor, su identidad, el servicio prestado, su ubicación y el mecanismo de transferencia internacional aplicable.
El Encargado impone a cada subencargado obligaciones de protección de datos equivalentes a las de este anexo y responde de su actuación.
Si el Encargado pretende incorporar o sustituir un subencargado, lo comunicará con una antelación mínima de treinta días a la dirección de contacto de la Clínica. La Clínica podrá oponerse por motivos razonables dentro de ese plazo; si la oposición impide prestar el Servicio, cualquiera de las partes podrá resolver la suscripción sin penalización, con reembolso de la parte del periodo no consumida.
7. Transferencias internacionales
Algunos subencargados están ubicados fuera del Espacio Económico Europeo. Esas transferencias se amparan en cláusulas contractuales tipo de la Comisión Europea y, cuando el proveedor está adherido, en el EU-US Data Privacy Framework. El detalle por proveedor consta en el apartado 4 de la Política de privacidad.
8. Asistencia a la Clínica
El Encargado asistirá a la Clínica, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, en:
- La atención de las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición). Si un interesado dirige una solicitud al Encargado, este la redirigirá a la Clínica sin demora y sin responderla por su cuenta.
- La realización de evaluaciones de impacto y las consultas previas a la autoridad de control que la Clínica deba efectuar.
- El cumplimiento de las obligaciones de seguridad del artículo 32.
Dado el alcance del apartado 2, el Encargado no puede atender por sí mismo solicitudes relativas a fotografías o fichas de pacientes: esos datos están únicamente en poder de la Clínica.
9. Violaciones de la seguridad
El Encargado notificará a la Clínica cualquier violación de la seguridad de los datos personales que afecte a los tratamientos del apartado 3 sin dilación indebida y, como máximo, en 48 horas desde que tenga constancia de ella, facilitando la información necesaria para que la Clínica pueda cumplir su obligación de notificación del artículo 33 del RGPD: naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, consecuencias probables y medidas adoptadas.
La notificación se remitirá a la dirección de correo asociada a la suscripción.
10. Supresión al finalizar
Al término de la prestación, el Encargado suprimirá los datos personales tratados por cuenta de la Clínica, así como cualquier copia en su poder, salvo que deba conservarlos para cumplir una obligación legal, en cuyo caso los bloqueará y conservará únicamente durante el plazo exigido.
A petición de la Clínica, y antes de la supresión, el Encargado le devolverá los datos en un formato estructurado y de uso común.
No es necesaria la devolución de las fotografías ni de las fichas de pacientes: ya están en los equipos de la Clínica y el Encargado no dispone de copia.
11. Información y auditoría
El Encargado pondrá a disposición de la Clínica la información necesaria para demostrar el cumplimiento de este anexo y permitirá auditorías, incluidas inspecciones, realizadas por la Clínica o por un auditor autorizado por ella. Las auditorías se acordarán con antelación razonable, se limitarán al alcance del apartado 3 y se realizarán a costa de la Clínica, salvo que revelen un incumplimiento del Encargado.
12. Obligaciones de la Clínica
Corresponde a la Clínica, como responsable del tratamiento:
- Disponer de una base jurídica válida para tratar las fotografías clínicas de sus pacientes y obtener el consentimiento informado cuando proceda.
- Informar a los pacientes del tratamiento conforme a los artículos 13 y 14 del RGPD.
- Mantener su propio registro de actividades de tratamiento y realizar, si procede, la evaluación de impacto.
- Custodiar las copias de seguridad y controlar el acceso físico y lógico a los equipos donde reside la aplicación de escritorio.
- No incluir datos identificativos de pacientes en el texto de las incidencias de soporte ni en las consultas al asistente, y trasladar esta indicación a su personal.
13. Responsabilidad
Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que la normativa de protección de datos le impone. La responsabilidad del Encargado derivada de este anexo queda sujeta al límite del apartado 9 de las Condiciones de uso, salvo en los supuestos en los que la ley no permita su limitación.
14. Versiones
Este anexo se identifica por la versión y la fecha de su cabecera. Las modificaciones se comunicarán con al menos treinta días de antelación por correo electrónico a las suscripciones activas. Si la Clínica no está conforme, podrá resolver la suscripción antes de su entrada en vigor.
La versión aceptada por la Clínica en el momento de la contratación queda registrada junto a su suscripción.
15. Ley aplicable
Este anexo se rige por la ley española y por el RGPD. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Barcelona (España).