Costa Rica — ANX-CAC §CR: Anexo Centroamérica y Caribe, Sección Costa Rica
ID del documento: ANX-CAC §CR · Versión: 1.0 · Fecha de entrada en vigor: [[TO CONFIRM: fecha de publicación]]
Idioma: este texto en español es el auténtico. La versión en inglés (../annex-cr.md) es una traducción de conveniencia.
Se aplica a: las Clínicas establecidas en la República de Costa Rica. Forma parte del Acuerdo Marco de Tratamiento de Datos (el "MDPA"). Los términos definidos en el MDPA tienen aquí el mismo significado. El Anexo CAC tiene tres secciones (§CR, §PA, §DO); solo se aplica la del país de la Clínica.
1. Marco legal y roles
1.1 Roles. Esta Sección rige el tratamiento de los Datos de la Clínica por:
- VstreamX, como encargado; y
- la Clínica, como responsable de la base de datos.
1.2 La ley. Se celebra conforme a la Ley 8968 de Protección de la Persona frente al Tratamiento de sus Datos Personales (la "Ley") y a su Reglamento, Decreto Ejecutivo 37554-JP (el "Reglamento").
2. Obligaciones del encargado (Reglamento, art. 31)
VstreamX:
- (a) trata los Datos de la Clínica únicamente conforme a las instrucciones de la Clínica (cláusula 3 del MDPA);
- (b) no utiliza los datos para finalidades distintas de las que instruye la Clínica (cláusula 4 del MDPA);
- (c) implementa las medidas de seguridad del Apéndice 2 del MDPA, coherentes con el protocolo mínimo de actuación que adopta la Clínica conforme a la cláusula 3;
- (d) guarda la confidencialidad de los datos, incluso después de finalizada su relación con la Clínica (cláusula 5 del MDPA);
- (e) no transfiere ni divulga los datos a terceros, salvo a los Subencargados autorizados (cláusula 5) o cuando la ley lo exija; y
- (f) suprime los datos al finalizar la relación, o por instrucción de la Clínica, después de devolverlos (cláusula 14 del MDPA).
3. Protocolo mínimo de actuación
3.1 El protocolo de la Clínica. La Clínica adopta el protocolo mínimo de actuación que el artículo 32 del Reglamento exige al responsable. DentalX proporciona una plantilla.
3.2 Reconocimiento de VstreamX. VstreamX reconoce el protocolo de la Clínica y se compromete a aplicar, en el tratamiento que realiza, las medidas que el protocolo asigna al encargado, en la medida en que sean coherentes con el Apéndice 2 del MDPA. Cuando no lo sean, VstreamX lo comunica a la Clínica y las Partes acuerdan cómo abordarlo.
4. Secreto equivalente
El artículo 9.1(d) de la Ley permite el tratamiento de datos sensibles de salud por un profesional de la salud sujeto al secreto profesional, o por otra persona sujeta a una obligación equivalente de secreto. Por ello:
- (a) VstreamX. VstreamX y su personal quedan sujetos a una obligación de secreto equivalente al secreto profesional respecto de todos los datos de salud de los pacientes de la Clínica (cláusula 5.3 del MDPA).
- (b) Subencargados. Los Subencargados de VstreamX están obligados por las obligaciones de confidencialidad de sus condiciones de tratamiento de datos, según indica el Apéndice 3 del MDPA, y los Datos de la Clínica están protegidos en su poder por el cifrado del Apéndice 2 del MDPA. VstreamX no declara que estén sujetos al secreto profesional ni a un secreto equivalente. [[TO CONFIRM: opinión de los asesores costarricenses sobre si esto basta para el artículo 9.1(d) de la Ley]]
- (c) Duración. La obligación de VstreamX es permanente y subsiste tras la terminación de este Acuerdo.
- (d) Incumplimiento. Su incumplimiento constituye un incumplimiento de este Acuerdo, sin perjuicio de la responsabilidad que imponen la Ley y la legislación penal.
5. Subencargados
5.1 Autorización. La Clínica autoriza a los Subencargados del Apéndice 3 del MDPA, cada uno de los cuales está ubicado en los Estados Unidos u opera en otros países según allí se indica.
5.2 Cambios. Los cambios siguen la cláusula 7 del MDPA.
6. Auditoría
La Clínica y la PRODHAB pueden verificar el cumplimiento de esta Sección por VstreamX (Reglamento, art. 29), conforme a la cláusula 12 del MDPA.
7. Vulneraciones de seguridad
7.1 Aviso a la Clínica. VstreamX notifica a la Clínica toda vulneración de seguridad que afecte a los Datos de la Clínica dentro de las 48 horas siguientes a tener conocimiento de ella, y en todo caso dentro de las 24 horas siguientes a haberla establecido (cláusula 9 del MDPA).
7.2 Lo que debe hacer la Clínica. Esto permite a la Clínica informar a la PRODHAB y a los titulares afectados dentro de los 5 días hábiles.
8. Derechos de los titulares
VstreamX asiste a la Clínica dentro de los 5 días hábiles siguientes a su solicitud (cláusula 8 del MDPA). Cuando el plazo de la propia Clínica sea de 5 días hábiles, VstreamX actúa dentro de los 2 días hábiles siguientes a la solicitud de la Clínica, para que esta pueda responder a tiempo.
9. Almacenamiento en los Estados Unidos y consentimiento de los pacientes
9.1 Consentimiento antes de introducir datos de salud. El artículo 40 del Reglamento no considera transferencia la comunicación de datos a un encargado. No está resuelto si la Ley exige, aun así, el consentimiento del paciente para este tratamiento: los artículos 5 y 14 de la Ley exigen un consentimiento informado y expreso para el tratamiento y las transferencias, mientras que el artículo 9.1(d) puede permitir el tratamiento de datos de salud sin consentimiento por una persona sujeta al secreto profesional o a un secreto equivalente. Mientras los asesores costarricenses no lo resuelvan, las Partes aplican la lectura más estricta. La Clínica obtiene de cada paciente, antes de introducir en DentalX cualquier dato de salud de ese paciente, un consentimiento expreso, por escrito o por un medio equivalente, que:
- mencione el almacenamiento y tratamiento de sus datos en los Estados Unidos; y
- mencione el uso de las funciones de IA y de WhatsApp, cuando la Clínica las use.
DentalX lo hace cumplir con el bloqueo de consentimiento de la cláusula 9.2(c), de modo que el compromiso de la Clínica y el funcionamiento del Servicio coinciden.
[[TO CONFIRM: opinión de los asesores costarricenses sobre si se exige el consentimiento (Ley 8968, arts. 5, 9.1(d) y 14; Reglamento, art. 40). Si no se exige, una nueva versión puede sustituir el bloqueo por un deber de información]]
9.2 Herramientas de DentalX. DentalX proporciona:
- (a) una plantilla de aviso de privacidad en español con la información que exige el artículo 5.1 de la Ley;
- (b) una plantilla de consentimiento con una casilla separada para el almacenamiento en los Estados Unidos, el uso de IA y WhatsApp, firmada por el paciente y guardada con su expediente; y
- (c) un bloqueo de consentimiento: DentalX no guarda datos de salud de un paciente hasta que conste un consentimiento con esa casilla separada. Antes de eso, la Clínica solo puede registrar el nombre, los datos de contacto y las citas del paciente, para poder enviarle el consentimiento. [[TO CONFIRM: opinión de los asesores sobre ese registro mínimo]]
10. Conservación
Los datos personales no deben conservarse por más de 10 años desde que cesó la finalidad para la que se recogieron, salvo norma especial en contrario (Ley, art. 6). El Servicio permite a la Clínica fijar su conservación y muestra un aviso para anonimizar los expedientes a los 10 años. No suprime automáticamente los expedientes clínicos.
11. Aceptación del cargo
VstreamX acepta el cargo de encargado de la Clínica en los términos de esta Sección. El certificado de aceptación de la Copia Firmada sirve como carta de aceptación del cargo de VstreamX. En el Servicio está disponible una carta separada, firmada, en el formato que utiliza la PRODHAB. [[TO CONFIRM: si la PRODHAB exige una carta separada con un formato determinado]]
12. Inscripción
La base de datos interna de pacientes de la Clínica está exenta de inscripción ante la PRODHAB cuando es de uso interno exclusivo. Cuando la Clínica deba inscribirse, VstreamX proporciona la información que necesita (cláusula 11.2 del MDPA).
13. Ley aplicable
La Ley y el Reglamento se aplican al tratamiento de los Datos de la Clínica cualquiera que sea la ley que rija la relación comercial conforme a la cláusula 23 del MDPA.
Puntos por confirmar antes de la publicación (Costa Rica)
- La fecha de publicación.
- La opinión de los asesores costarricenses sobre si se exige el consentimiento, y sobre el registro mínimo previo al consentimiento (§9).
- Si la PRODHAB exige una carta de aceptación del cargo separada con un formato determinado (§11).
- La opinión de los asesores costarricenses sobre la confidencialidad de los Subencargados conforme al artículo 9.1(d) (§4(b)).