Argentina — ANX-AR (Anexo Argentina) y TM-AR (Contrato Modelo, Disp. 60-E/2016)
ID de los documentos: ANX-AR v1.0 y TM-AR v1.0 · Fecha de entrada en vigor: [[TO CONFIRM: fecha de publicación]]
Idioma: este texto en español es el auténtico. La versión en inglés (../annex-ar.md) es una traducción de conveniencia.
Se aplica a: las Clínicas establecidas en la República Argentina. Forma parte del Acuerdo Marco de Tratamiento de Datos (el "MDPA"). Los términos definidos en el MDPA tienen aquí el mismo significado.
Orden de lectura en el paquete: MDPA → ANX-AR (Parte I) → TM-AR (Parte II).
PARTE I — ANX-AR: Cláusulas de encargo
1. Marco legal
Este Anexo desarrolla, para la Clínica como responsable de la base de datos y para VstreamX como prestadora de servicios de tratamiento de datos por cuenta de terceros, lo siguiente:
- el artículo 25 de la Ley 25.326 de Protección de los Datos Personales ("Ley 25.326");
- el artículo 25 de su Decreto Reglamentario 1558/2001; y
- la Ley 26.529 de Derechos del Paciente, Historia Clínica y Consentimiento Informado ("Ley 26.529").
2. Uso exclusivo para la Clínica
VstreamX:
- trata los Datos de la Clínica únicamente conforme a las instrucciones de la Clínica y para las finalidades del Apéndice 1 del MDPA;
- no los aplica ni utiliza con un fin distinto; y
- no los cede a otras personas, ni siquiera para su conservación, salvo a los Subencargados enumerados en el Apéndice 3 del MDPA conforme a la cláusula 4 del TM-AR (Ley 25.326, art. 25.1).
3. Niveles de seguridad
3.1 Medidas. VstreamX aplica las medidas del Apéndice 2 del MDPA. Teniendo en cuenta que la base de datos contiene datos sensibles de salud, esas medidas cumplen el nivel de seguridad que exigen el artículo 9 de la Ley 25.326 y las normas de la Agencia de Acceso a la Información Pública ("AAIP"), incluidas las medidas recomendadas por la Resolución AAIP 47/2018.
3.2 Especificación exigida. El artículo 25 del Decreto 1558/2001 exige que el contrato especifique los niveles de seguridad. Las Partes los especifican como los del Apéndice 2 del MDPA, que forma parte de este Anexo.
4. Confidencialidad
- Quiénes están obligados. VstreamX, su personal y sus Subencargados están obligados al secreto profesional respecto de los Datos de la Clínica, conforme al artículo 10 de la Ley 25.326 y a la cláusula 5 del MDPA.
- Duración. Ese deber subsiste aun después de finalizada la relación.
5. Fin del servicio: destrucción o conservación por instrucción expresa
5.1 Destrucción. Cumplida la prestación, los Datos de la Clínica se destruyen conforme a la cláusula 14 del MDPA, después de haberse puesto a disposición de la Clínica la exportación completa (Ley 25.326, art. 25.2).
5.2 Conservación solo por instrucción expresa. VstreamX conserva Datos de la Clínica después del término del servicio únicamente cuando la Clínica le instruye expresamente hacerlo porque podrían contratarse prestaciones futuras. En tal caso:
- la Clínica da la instrucción por escrito en el Servicio;
- los datos se conservan, con las debidas condiciones de seguridad, por un plazo máximo de dos años; y
- luego se destruyen.
5.3 Copias de seguridad y registro de auditoría.
- Copias de seguridad. Las copias en respaldos caducan dentro de los siete días siguientes a la destrucción (cláusula 14.5(a) del MDPA).
- Registro de auditoría. El registro de auditoría se conserva siete años únicamente con los datos que podrían identificar a un paciente eliminados, de modo que deja de constituir un dato personal. [[TO CONFIRM: confirmación por los asesores de que el registro de auditoría desidentificado queda fuera del art. 25.2 de la Ley 25.326]]
6. Historia clínica
6.1 La obligación de la Clínica. La Clínica debe conservar sus historias clínicas por un plazo mínimo de 10 años desde la última actuación registrada (Ley 26.529, art. 18). Las normas provinciales pueden exigir plazos mayores [[TO CONFIRM: plazos provinciales de conservación de historias clínicas odontológicas en las principales provincias]]. DentalX no suprime automáticamente las historias clínicas.
6.2 Historias clínicas informatizadas. Para las historias clínicas informatizadas, el Servicio lleva un registro de auditoría de los cambios. No permite modificar un asiento sin dejar constancia del cambio, en apoyo de la integridad, autenticidad e inalterabilidad que exige el artículo 13 de la Ley 26.529. [[TO CONFIRM: que se registra el historial de cambios a nivel de campo (valores anteriores y posteriores) de los asientos clínicos; en caso contrario, fecha prevista]]
7. Recetas
DentalX no está inscrito en el Registro Nacional de Plataformas Digitales Sanitarias (ReNaPDiS) previsto por la Ley 27.553 y su reglamentación. En consecuencia, las recetas que produce DentalX no son recetas electrónicas válidas para su dispensa. El Servicio, o bien las desactiva para las Clínicas de Argentina, o bien las rotula como borradores no dispensables. [[TO CONFIRM: cuál de las dos opciones de producto se aplica en la publicación]]
8. Derechos de los titulares
VstreamX asiste a la Clínica dentro de los 5 días hábiles siguientes a su solicitud, conforme a la cláusula 8 del MDPA. Esto permite a la Clínica responder a las solicitudes de acceso dentro de los 10 días corridos (Ley 25.326, art. 14) y a las de rectificación, actualización o supresión dentro de los 5 días hábiles (art. 16). Para este último plazo, VstreamX actúa sin demora ante la solicitud de la Clínica, y el Servicio permite a la Clínica efectuar el cambio por sí misma.
9. Inscripción y leyenda
9.1 Inscripción de la base de datos. La Clínica es responsable de inscribir su base de datos en el Registro Nacional de Bases de Datos Personales. VstreamX proporciona la información sobre sí misma y sus Subencargados que la inscripción requiere (cláusula 11.2 del MDPA).
9.2 La leyenda de la AAIP. DentalX incluye la leyenda exigida por la Disposición 10/2008 (ex DNPDP, hoy AAIP) en los formularios para pacientes que genera para las Clínicas de Argentina.
10. Subencargados: consentimiento previo por escrito
- Consentimiento dado con la aceptación. La aceptación del TM-AR por la Clínica constituye su consentimiento previo y por escrito respecto de los Subencargados enumerados en el Apéndice 3 del MDPA.
- Nuevos Subencargados. Todo nuevo Subencargado requiere el consentimiento previo y por escrito de la Clínica en el Servicio, conforme a la cláusula 7.5 del MDPA. El mecanismo de oposición de 30 días de la cláusula 7.4 del MDPA no sustituye ese consentimiento.
11. Ley aplicable y jurisdicción en materia de protección de datos
- Lo que se aplica. En todo lo relativo a la protección de los datos personales, este Anexo y el TM-AR se rigen por la ley argentina y quedan sometidos a la jurisdicción que designa el TM-AR.
- Sin renuncia. Nada en los Términos ni en el MDPA implica renuncia a los derechos de los titulares conforme a la Ley 25.326.
12. Prelación
- Prevalece el TM-AR. El TM-AR prevalece sobre este Anexo, el MDPA y los Términos (cláusula 19 del MDPA).
- Sin modificaciones sustanciales. Las Partes declaran que el TM-AR es el modelo aprobado por la AAIP, completado únicamente en sus campos en blanco y sin modificaciones sustanciales. Por ello, no se requiere presentación alguna ante la AAIP conforme al artículo 2 de la Disposición 60-E/2016.