Contrato de Encargado de Tratamiento (DPA)

Este contrato regula el tratamiento de datos personales que Mundaka Norte, S.L.(«el Encargado») realiza por cuenta de la clínica cliente («el Responsable») al prestar el servicio ÜDuClinic, conforme al artículo 28 del RGPD. Se acepta al marcar la casilla de aceptación durante el registro y forma parte de los Términos de contratación.

1. Partes

• Responsable del tratamiento: la clínica cliente, dueña de los datos de sus pacientes.
• Encargado del tratamiento: Mundaka Norte, S.L. (CIF B09751579, Pasaje Puntida 2, 1.º Dcha., 39001 Santander).

2. Objeto y duración

El Encargado trata datos por cuenta del Responsable con el único fin de prestar el servicio de gestión de clínica dental, mientras dure la relación de servicio. A su fin se aplica la cláusula 7.

3. Datos e interesados

• Interesados: pacientes de la clínica y su personal usuario.
• Datos: identificativos y de contacto, datos de salud (categoría especial, art. 9 RGPD) y datos económicos.

4. Obligaciones del Encargado (art. 28.3 RGPD)

• Tratar los datos solo siguiendo las instrucciones del Responsable (el uso de la plataforma constituye esas instrucciones).
• Garantizar la confidencialidad de quien accede a los datos.
• Aplicar las medidas de seguridad del art. 32 (cláusula 5).
• No subcontratar sin autorización; los subencargados figuran en la cláusula 6.
• Asistir al Responsable para atender los derechos de los interesados y sus obligaciones de seguridad.
• Notificar sin dilación indebida cualquier violación de seguridad de la que tenga conocimiento.
• Poner a disposición la información para demostrar el cumplimiento y permitir auditorías.

5. Medidas de seguridad

Cifrado en tránsito (TLS); control de acceso por usuario, contraseña y roles; registro de auditoría de acciones sensibles; copias de seguridad; facturas inalterables; y alojamiento de los datos en la Unión Europea (Frankfurt, Alemania).

6. Subencargados autorizados

• Vercel — alojamiento de la aplicación.
• Neon — base de datos (UE, Frankfurt).
• Resend — envío de emails transaccionales.
• Stripe — cobro de la suscripción (no trata datos de pacientes).

Todos actúan como encargados con las garantías del art. 28 y, cuando traten datos fuera del EEE, con las garantías previstas por el RGPD (cláusulas contractuales tipo).

7. Fin del contrato

A elección del Responsable, el Encargado devolverá o suprimirá los datos de pacientes, salvo obligación legal de conservación. La clínica puede exportar todos sus datos en cualquier momento desde Ajustes → Copia de seguridad.

8. Derechos de los interesados y ley aplicable

Las solicitudes de derechos de un paciente se dirigen a su clínica (Responsable). Este contrato se rige por la legislación española y el RGPD.