Partes del Acuerdo
El presente Acuerdo de Tratamiento de Datos (en adelante, "DPA" o "Acuerdo") se celebra entre:
- RESPONSABLE DEL TRATAMIENTO:La institución de salud o clínica que contrata los servicios de REMUV EMR (en adelante, "la Clínica"), cuyos datos identificativos quedan registrados en el contrato comercial principal firmado entre las partes.
- ENCARGADO DEL TRATAMIENTO:REMUV EMR, operado por REMUV (en adelante, "REMUV" o "el Encargado"), correo de contacto legal: [email protected], correo de contacto de privacidad: [email protected].
1. Objeto del Acuerdo
Este DPA regula el tratamiento de datos personales de pacientes y personal de la Clínica que REMUV realiza por cuenta y orden de la Clínica al prestarle el servicio de historia clínica electrónica (EMR), incluyendo almacenamiento, consulta, indexación, respaldo, auditoría y disponibilidad técnica.
Se aplica en conjunto con el contrato comercial principal entre las partes y prevalece, en caso de conflicto, sobre cláusulas comerciales en lo relativo a protección de datos.
2. Marco Legal Aplicable
- Constitución de la República Bolivariana de Venezuela, artículo 60 (derecho a la intimidad y autodeterminación informativa).
- Ley Orgánica de Salud y Reglamento de Historia Médica (períodos de conservación clínica).
- Código de Deontología Médica de la Federación Médica Venezolana (secreto profesional).
- Ley sobre Mensajes de Datos y Firmas Electrónicas.
- Estándares internacionales aplicables (referencia voluntaria): ISO/IEC 27001, ISO/IEC 27799, principios del Reglamento (UE) 2016/679 / GDPR).
3. Roles y Responsabilidades
3.1 La Clínica es Responsable del Tratamiento. Define los fines, decide qué datos se cargan al sistema, mantiene la relación clínica con el paciente, obtiene el consentimiento informado y responde ante el titular y la autoridad por la licitud del tratamiento.
3.2 REMUV es Encargado del Tratamiento. Procesa los datos exclusivamente para prestar el servicio contratado y siguiendo instrucciones documentadas de la Clínica. REMUV no usará los datos para fines propios, ni los venderá, ni los cederá a terceros, ni los empleará para entrenar modelos sin consentimiento expreso.
4. Naturaleza, Finalidad y Categorías de Datos
Naturaleza: tratamiento por cuenta del Responsable. Duración: mientras esté vigente el contrato principal más los períodos de retención mínima legal.
Finalidad: prestación del servicio EMR (registro clínico, agendamiento, recetas, signos, documentos, mensajería paciente-equipo tratante, auditoría y portabilidad).
- Datos identificativos: nombre, cédula, fecha de nacimiento, contacto, dirección.
- Datos de salud (categoría especial): diagnósticos, signos vitales, notas clínicas, recetas, resultados, imágenes, antecedentes.
- Datos de uso del sistema: logs de acceso, IP, user-agent, timestamps, acciones.
- Datos del personal de la Clínica: credenciales, rol, hospital, registros de auditoría.
5. Obligaciones del Encargado (REMUV)
- Tratar los datos únicamente conforme a instrucciones documentadas de la Clínica.
- Garantizar que su personal autorizado se obligue a confidencialidad por escrito.
- Implementar medidas técnicas y organizativas apropiadas (sección 7).
- Asistir razonablemente a la Clínica para responder solicitudes de titulares (acceso, rectificación, portabilidad, eliminación, oposición).
- Notificar a la Clínica de cualquier incidente de seguridad sin demora indebida y en plazo máximo de 72 horas desde la detección.
- A elección de la Clínica, devolver o eliminar los datos al finalizar la relación, salvo conservación impuesta por ley.
- Poner a disposición de la Clínica la información necesaria para demostrar el cumplimiento de este DPA.
- Mantener un registro de las actividades de tratamiento realizadas por cuenta de la Clínica.
6. Obligaciones de la Clínica (Responsable)
- Recabar el consentimiento informado del paciente conforme al marco legal venezolano.
- Cargar al sistema únicamente datos pertinentes, exactos y obtenidos lícitamente.
- Designar usuarios autorizados, gestionar sus altas/bajas y revisar periódicamente accesos.
- Notificar a REMUV cuando un titular ejerza derechos cuya ejecución dependa del Encargado.
- No utilizar el sistema para fines incompatibles con la atención clínica o no autorizados por el titular.
7. Medidas Técnicas y Organizativas
REMUV implementa, como mínimo, las siguientes medidas:
- Encriptación en tránsito: HTTPS obligatorio con HSTS preload.
- Encriptación en reposo: base de datos cifrada AES-256 (SQLCipher) cuando se activa la clave de despliegue.
- Autenticación: contraseñas con hash bcrypt, sesiones firmadas con secreto criptográfico, PIN opcional para acciones sensibles.
- Control de acceso: control basado en roles (RBAC), aislamiento por hospital, principio de mínimo privilegio.
- Auditoría: registro inmutable de accesos y modificaciones con IP, user-agent, timestamp, usuario y acción.
- Respaldos: respaldos periódicos cifrados con retención definida en la Política de Retención.
- Versionado de consentimientos: hash SHA-256 del texto legal aceptado por el paciente.
- Separación de entornos: producción, staging y desarrollo aislados.
- Política de claves: claves de encriptación y secretos de sesión gestionados fuera del repositorio de código.
8. Subencargados (Subprocesadores)
REMUV podrá apoyarse en proveedores de infraestructura (hosting, correo transaccional, respaldos) bajo las siguientes condiciones:
- Lista de subencargados disponible bajo solicitud a [email protected].
- Cada subencargado debe asumir por contrato obligaciones de protección equivalentes a las de este DPA.
- REMUV notificará a la Clínica cualquier cambio sustancial en los subencargados; la Clínica podrá objetar por razones razonables relacionadas con protección de datos.
9. Transferencias Internacionales
Si los datos se almacenaran o procesaran fuera del territorio venezolano (por ejemplo, infraestructura en la nube en otra jurisdicción), REMUV declarará la ubicación a la Clínica y aplicará garantías contractuales adicionales para asegurar un nivel de protección equivalente.
10. Derechos de los Titulares (Pacientes)
REMUV pone a disposición de la Clínica los siguientes mecanismos técnicos para atender derechos:
- Acceso y portabilidad: exportación completa de los datos del titular en formato JSON.
- Rectificación: edición con registro de auditoría que conserva el valor anterior.
- Eliminación: proceso documentado con ventana de confirmación, ejecución efectiva pasado el plazo, y certificado de eliminación; sujeto a períodos de conservación legal mínima.
- Revocación de consentimiento: botón explícito en el portal del paciente; bloquea accesos futuros no asistenciales.
- Oposición: registrada en el sistema de auditoría y comunicada a la Clínica.
11. Notificación de Brechas
REMUV notificará a la Clínica cualquier violación de seguridad de los datos personales sin demora indebida y en un plazo máximo de 72 horas desde el momento en que tenga conocimiento. La notificación incluirá:
- Descripción de la naturaleza del incidente, categorías y volumen aproximado de titulares afectados.
- Datos de contacto del responsable de privacidad en REMUV ([email protected]).
- Consecuencias probables y medidas adoptadas o propuestas para mitigar efectos adversos.
La Clínica conserva la responsabilidad final de notificar al titular y a la autoridad competente cuando corresponda legalmente.
12. Auditoría
La Clínica podrá auditar el cumplimiento de este DPA mediante: (a) cuestionarios de seguridad escritos, (b) revisión de la documentación de control de seguridad de REMUV, o (c) auditoría in situ con preaviso razonable de al menos quince (15) días hábiles y bajo confidencialidad. REMUV podrá repercutir los costos directos razonables de auditorías que excedan una por año, salvo en caso de incidente confirmado.
13. Conservación y Devolución
Los períodos de retención están definidos en la Política de Retención y Eliminación. Al término del Acuerdo, REMUV, a elección de la Clínica, devolverá los datos en formato portable o procederá a su eliminación segura, salvo conservación impuesta por ley.
14. Limitación de Responsabilidad
Cada parte responde por los daños causados por incumplimiento de sus obligaciones legales y contractuales. REMUV no responde por la calidad clínica, exactitud o pertinencia de la información cargada por la Clínica ni por decisiones clínicas tomadas con base en ella.
15. Vigencia y Terminación
Este DPA entra en vigor con la firma del contrato comercial principal y permanece vigente mientras REMUV trate datos por cuenta de la Clínica. Las obligaciones de confidencialidad y de notificación de incidentes sobreviven a la terminación durante el período legal aplicable.
16. Ley Aplicable y Jurisdicción
Este DPA se rige por las leyes de la República Bolivariana de Venezuela. Las controversias se someterán a los tribunales competentes del domicilio de la Clínica, salvo pacto distinto en el contrato comercial principal.
17. Firma
Este documento se firmará en dos ejemplares de un mismo tenor por los representantes legales de las partes. La aceptación electrónica con credenciales verificadas tendrá idéntico valor probatorio conforme a la Ley sobre Mensajes de Datos y Firmas Electrónicas.
Para solicitar la versión imprimible firmable de este DPA: [email protected].