Esta es una plantilla técnico-operativa. Requiere revisión legal y personalización antes de su uso en cualquier contexto contractual.
Estructura del DPA
- Partes (Responsable y Encargado del tratamiento).
- Objeto y finalidades del tratamiento.
- Duración, categorías de datos y categorías de interesados.
- Instrucciones documentadas del Responsable.
- Obligaciones del Encargado del tratamiento.
- Subencargados y transferencias fuera del EEE/Reino Unido.
- Medidas de seguridad y procedimientos de violación de datos.
- Derechos de los interesados, derechos de auditoría y resolución.
Medidas técnicas clave
- Control de acceso basado en roles y principio de mínimo privilegio.
- Cifrado en tránsito (TLS) y en reposo cuando corresponda.
- Segregación de entornos: desarrollo / preproducción / producción.
- Registros de auditoría operativos y de IA.
- Copia de seguridad, recuperación y monitorización continua.
- Gestión de secretos mediante gestor de secretos dedicado.
Subencargados actuales
PappAI recurre a los siguientes subencargados para prestar el Servicio. Cada entrada indica la finalidad principal, el país de tratamiento y la base jurídica de cualquier transferencia de datos fuera de la UE/EEE. La lista se mantiene actualizada y cualquier cambio sustancial se notificará con antelación a los Responsables.
| Proveedor | Finalidad | País de tratamiento | Categorías de datos | Transferencia / garantías |
|---|---|---|---|---|
| Google Cloud Platform (Google LLC) | Alojamiento en la nube (Cloud Run, Cloud SQL), almacenamiento de objetos (GCS), registro y monitorización. | EU regions (europe-west1), corporate USA | Todos los datos del Servicio: clínicos, de cuenta, de facturación, registros operativos. | EU SCC + DPA |
| Google Vertex AI (Google LLC) | Inferencia de IA generativa para la elaboración de planes dietéticos y el apoyo al análisis clínico. | EU multi-region, corporate USA | Entrada seudonimizada como regla; excepciones: fotos/PDF escaneados importados tras la confirmación del profesional, nombres de pacientes en el asistente de soporte, fotos de comidas; sin participación en el entrenamiento. | EU SCC + DPA · no training opt-in |
| Google Workspace (Calendar, Meet) | Teleconsultas: evento de calendario y enlace de Google Meet en la cuenta Workspace de PappAI. | EU + edge USA | Nombre y email del paciente, fecha y notas de la cita. | EU SCC + DPA Workspace |
| Firebase (Google LLC) | Autenticación (tokens de identidad), entrega de notificaciones push (FCM/APNs) e informes de fallos de las apps (Crashlytics). | USA, multi-region | Identidad del usuario (email, teléfono), token push del dispositivo, texto de las notificaciones (incluida la vista previa de los mensajes del profesional), datos técnicos de fallos sin identificador de usuario. | EU SCC + DPA |
| Stripe Payments Europe Ltd | Facturación de suscripciones, emisión de facturas, procesamiento de pagos. | Ireland (EU) | Datos de cuenta y facturación, historial de transacciones. Sin datos clínicos. | Intra-EU |
| Brevo (Sendinblue SAS) | Envío de emails transaccionales (cuenta, notificaciones de facturación, plantillas del profesional) y automatizaciones del ciclo de vida dirigidas a los profesionales. | France (EU) | Correo del destinatario, contenido del mensaje, estado de entrega. | Intra-EU |
| Twilio Ireland Ltd | Envío de SMS: códigos OTP, enlaces de firma de consentimientos, recordatorios de citas, enlaces de pago y mensajes del profesional. | Ireland (EU), corporate USA | Número de teléfono del destinatario, contenido del mensaje, metadatos de entrega. | EU SCC + DPA |
| Meta Platforms Ireland Ltd | WhatsApp Business Cloud API para comunicaciones con plantilla a los pacientes. | Ireland (EU), corporate USA | Número de teléfono del destinatario, variables de plantilla, metadatos de entrega. | EU SCC + DPA |
| Google Analytics 4 (Google LLC) | Analítica de uso agregada solo en el sitio público, previo consentimiento. | USA, corporate | Identificadores seudónimos, vistas de página, eventos de interacción. Sin datos clínicos. | EU SCC + DPA · consent-gated |
| Microsoft Clarity (Microsoft Corporation) | Analítica de UX anonimizada (mapas de calor, repeticiones de sesión). | USA, corporate | Identificadores seudónimos, eventos de interacción. Sin datos clínicos; campos sensibles enmascarados. | EU SCC + DPA · consent-gated |
| ITALA Tecnologia Informatica S.r.l. | Facturación electrónica italiana (SDI) y transmisión de los gastos sanitarios al Sistema Tessera Sanitaria, para profesionales con sede en Italia. | Italy (EU) | Datos fiscales del profesional y del paciente (nombre, código fiscal, importes, fecha de la prestación). Ningún dato clínico. | Intra-EU |
| OpenAI Ireland Ltd (ChatGPT Ads) | Píxel de conversión de ChatGPT Ads solo en el sitio público, previo consentimiento de marketing. | Ireland (EU), corporate USA | Identificadores pseudónimos y eventos de conversión. Ningún dato de cuenta ni clínico. | EU SCC + DPA · consent-gated |
| SumUp | Pagos paciente → profesional (enlaces de pago y lector de tarjetas) en la cuenta SumUp conectada por el profesional. | EU/UK | Importe, referencia de factura, email del paciente. Ningún dato clínico. | SumUp terms (+ UK adequacy / SCC) |
| Apple Inc. (APNs) | Entrega de notificaciones push a las apps de iOS (Apple Push Notification service). | USA | Token push del dispositivo y texto de la notificación. | EU SCC |
Todos los subencargados enumerados tratan los datos en virtud de acuerdos escritos que contienen garantías conformes con el RGPD (DPA, CCT de la UE cuando proceda). Ningún subencargado utiliza nunca los datos clínicos de los pacientes para entrenar, ajustar o evaluar modelos de IA.
Anexos previstos
- Anexo A: detalle del tratamiento (Art. 28(3) GDPR).
- Anexo B: lista actual de subencargados.
- Anexo C: medidas técnicas y organizativas (MTOs).