Contrato de Encargo de Tratamiento de Datos

1. Partes y roles

El Cliente (médico, consultorio o clínica) es el responsable del tratamiento de los datos personales de sus pacientes y prospectos (el "Responsable").

La entidad de Medikal que presta el Servicio conforme a los Términos (GPT4SALES, INC. o Binary Analytics, S.A. de C.V.) es la persona encargada (el "Encargado"): trata esos datos por cuenta del Responsable, dentro de la relación jurídica que establecen los Términos y únicamente para prestar el Servicio.

2. Datos y titulares

Titulares: pacientes y prospectos del Responsable que se comunican con su asistente IA o cuyas citas se gestionan en el Servicio, y personas del equipo del Responsable que usan la plataforma.

Datos: nombre, número de teléfono, usuario en redes sociales, contenido de las conversaciones (textos, notas de voz, imágenes y documentos), datos de citas y, en su caso, datos de salud que el paciente comparta. Los datos de salud son datos personales sensibles.

3. Finalidad e instrucciones

El Encargado tratará los datos únicamente para prestar el Servicio: responder y canalizar conversaciones, gestionar citas y recordatorios, mostrar el historial en el CRM, dar soporte y cumplir obligaciones legales. Los Términos y la configuración que el Responsable hace del Servicio constituyen sus instrucciones documentadas.

El Encargado no tratará los datos para finalidades distintas, no los usará para mejorar ni para reentrenar modelos de inteligencia artificial, no los venderá, no los compartirá con otros clientes de Medikal y no los transferirá salvo instrucción del Responsable, subcontratación autorizada conforme a la cláusula 6 o requerimiento de autoridad competente.

Si el Encargado considera que una instrucción es contraria a la Ley, lo informará al Responsable y podrá abstenerse de cumplirla.

4. Obligaciones del Responsable

• Contar con un aviso de privacidad para sus pacientes que informe el uso de herramientas tecnológicas y de proveedores que tratan sus datos por su cuenta, y ponerlo a su disposición.
• Obtener el consentimiento que exige la Ley y, para datos de salud cuando proceda, el consentimiento expreso y por escrito (artículo 8 de la Ley), así como la autorización de los pacientes para ser contactados por WhatsApp.
• Asegurar que los datos que ingresa al Servicio se obtuvieron lícitamente y que sus instrucciones son conformes a la Ley.
• Atender las solicitudes de derechos ARCO de sus pacientes, con el apoyo del Encargado.
• Informar a sus pacientes de las vulneraciones de seguridad cuando la Ley lo exija.

5. Confidencialidad

El Encargado guardará confidencialidad sobre los datos y se asegurará de que su personal y sus subencargados con acceso a ellos estén obligados a hacerlo, obligación que subsiste al terminar su relación (artículo 20 de la Ley). El acceso del personal se limita a quien lo necesita para prestar el Servicio o dar soporte.

6. Subencargados

El Responsable autoriza de forma general al Encargado a subcontratar servicios que impliquen tratamiento de datos (artículos 54 y 55 del Reglamento) con proveedores de las siguientes categorías:

• Infraestructura y alojamiento en la nube, bases de datos y respaldos.
• Proveedores de modelos de inteligencia artificial que procesan las conversaciones para generar respuestas, bajo condiciones de uso empresarial que no les permitan usar esos datos para entrenar sus modelos.
• Plataformas de mensajería y de agenda que el Responsable decide conectar (por ejemplo Meta, Google o Doctoralia), en la medida necesaria para que el Servicio funcione.
• Envío de correos y mensajes, y soporte técnico.

El Encargado formalizará con cada subencargado obligaciones de protección de datos equivalentes a las de este Contrato de Encargo y responderá por su cumplimiento frente al Responsable en los términos de los Términos. La lista de subencargados está disponible a solicitud. Si incorporamos una nueva categoría, avisaremos con 15 días naturales de anticipación; si el Responsable no está de acuerdo, puede terminar el Servicio sin cargo.

Algunos subencargados y servidores se ubican fuera de México. Esas comunicaciones son remisiones entre responsable y encargado, que no requieren informarse al titular ni su consentimiento (artículo 53 del Reglamento), y se hacen con las mismas obligaciones de este Contrato de Encargo.

7. Medidas de seguridad

El Encargado mantendrá medidas de seguridad administrativas, técnicas y físicas acordes con el riesgo y la sensibilidad de los datos (artículo 18 de la Ley), que incluyen cifrado de la información en tránsito, control de acceso por usuario, separación lógica de la información de cada cliente, respaldos periódicos y procedimientos de respuesta a incidentes.

8. Vulneraciones de seguridad

Si el Encargado confirma una vulneración de seguridad que afecte los datos del Responsable (pérdida, robo, copia, uso, acceso o alteración no autorizados), lo informará al Responsable sin demora indebida y, cuando sea posible, dentro de las 72 horas siguientes a la confirmación, con la información disponible sobre la naturaleza del incidente, los datos comprometidos, las acciones correctivas inmediatas y las recomendaciones para los titulares. Después analizará las causas y aplicará medidas para evitar que se repita (artículos 63 a 66 del Reglamento).

Corresponde al Responsable informar a sus pacientes cuando la vulneración afecte de forma significativa sus derechos (artículo 19 de la Ley). El Encargado le dará el apoyo razonable para hacerlo.

9. Derechos ARCO de los pacientes

Si un paciente del Responsable presenta al Encargado una solicitud de acceso, rectificación, cancelación u oposición, el Encargado la turnará al Responsable dentro de los 5 días hábiles siguientes y le indicará al paciente que el responsable es su médico. El Encargado ayudará al Responsable, con las herramientas del Servicio, a localizar, exportar, corregir o eliminar los datos.

10. Devolución y supresión al terminar

Al terminar el Servicio, el Responsable puede solicitar dentro de los 30 días naturales siguientes una exportación de sus datos. Pasado ese plazo, el Encargado suprimirá los datos dentro de los 90 días naturales siguientes, salvo los que deba conservar por disposición legal, que quedarán bloqueados hasta su supresión (artículo 50, fracción V, del Reglamento). Los respaldos se eliminan en su ciclo ordinario. A solicitud, el Encargado confirmará por escrito la supresión.

11. Información y verificación

A solicitud razonable del Responsable, y hasta una vez al año, el Encargado le proporcionará la información necesaria para demostrar el cumplimiento de este Contrato de Encargo, sin revelar información confidencial de otros clientes ni comprometer la seguridad del Servicio.

Si una autoridad requiere al Encargado datos del Responsable, el Encargado se lo informará, salvo que la ley o la autoridad lo prohíban.

12. Responsabilidad

Cada parte responde por el cumplimiento de sus propias obligaciones. El Encargado asumirá las obligaciones de un responsable solo si usa los datos para una finalidad distinta a la instruida o los transfiere en contra de las instrucciones (artículo 53 del Reglamento). Fuera de esos casos y salvo dolo, la responsabilidad del Encargado se rige por la limitación de los Términos. El Responsable indemnizará al Encargado conforme a los Términos por reclamaciones derivadas de la falta de aviso de privacidad, de consentimientos o de instrucciones contrarias a la Ley.

13. Vigencia

Este Contrato de Encargo está vigente mientras el Encargado trate datos del Responsable, aun después de terminado el Servicio. Contacto para asuntos de datos personales: support@medikal.mx.