Anexo Centroamérica y Caribe: Sección República Dominicana

República Dominicana — ANX-CAC §DO: Anexo Centroamérica y Caribe, Sección República Dominicana

ID del documento: ANX-CAC §DO · Versión: 1.0 · Fecha de entrada en vigor: [[TO CONFIRM: fecha de publicación]] Idioma: este texto en español es el auténtico. La versión en inglés (../annex-do.md) es una traducción de conveniencia. Se aplica a: las Clínicas establecidas en la República Dominicana. Forma parte del Acuerdo Marco de Tratamiento de Datos (el "MDPA"). Los términos definidos en el MDPA tienen aquí el mismo significado.

1. Marco legal y roles

Esta Sección rige el tratamiento de los Datos de la Clínica por:

VstreamX, como encargado del tratamiento; y
la Clínica, como responsable del archivo, registro, base o banco de datos.

Se celebra conforme a la Ley 172-13 sobre Protección Integral de los Datos Personales (la "Ley"). Respeta además el derecho de habeas data consagrado en la Constitución de la República Dominicana.

2. Tratamiento por cuenta de la Clínica; prohibición de cesión

2.1 Instrucciones y finalidad. VstreamX trata los Datos de la Clínica únicamente:

conforme a las instrucciones de la Clínica (cláusula 3 del MDPA); y
para las finalidades del Apéndice 1 del MDPA (cláusula 4 del MDPA).

2.2 Sin cesión. VstreamX no cede los Datos de la Clínica a ningún tercero, y no los comunica salvo a los Subencargados autorizados (Apéndice 3 del MDPA) o cuando la ley lo exija (Ley, art. 28).

3. Secreto

3.1 Quiénes están obligados. VstreamX, su personal y sus Subencargados están obligados al secreto profesional respecto de los Datos de la Clínica (Ley, arts. 5.6 y 78), incluidos los datos de salud de los pacientes de la Clínica.

3.2 Duración. Ese deber subsiste aun después de finalizada la relación con la Clínica (cláusula 5 del MDPA).

4. Seguridad

VstreamX adopta las medidas técnicas y organizativas del Apéndice 2 del MDPA. Esas medidas garantizan la seguridad y confidencialidad de los datos y evitan su alteración, pérdida, tratamiento o acceso no autorizado (Ley, art. 5.5).

5. Transferencia internacional

5.1 El alojamiento en el extranjero es una transferencia. Conforme al artículo 6.20 de la Ley, la comunicación de los Datos de la Clínica a VstreamX en Canadá, y a los Subencargados en los Estados Unidos y otros países, constituye una transferencia internacional, aunque los destinatarios sean encargados.

5.2 El fundamento de la transferencia.

Fundamento principal: el consentimiento. La transferencia se realiza con base en el consentimiento de cada titular (Ley, art. 80.1), que la Clínica obtiene conforme a la cláusula 7.
Fundamentos subsidiarios. Cuando corresponda, las excepciones del artículo 80 de la Ley la respaldan subsidiariamente, entre ellas:
- que la transferencia sea necesaria para la prestación de asistencia sanitaria al titular (art. 80.2); y
- que sea necesaria para la ejecución de un contrato entre el titular y la Clínica, o en interés del titular (art. 80.6).

[[TO CONFIRM: numeración exacta de las excepciones del artículo 80 invocadas]]

5.3 Compromisos de VstreamX como destinataria. VstreamX:

aplica a los Datos de la Clínica las protecciones de esta Sección; y
garantiza que cada Subencargado aplique protecciones equivalentes.

6. Habeas data

VstreamX asiste a la Clínica dentro de los 5 días hábiles siguientes a su solicitud (cláusula 8 del MDPA) para atender a los titulares que ejerzan sus derechos de acceso, rectificación, cancelación y bloqueo, y el derecho de habeas data. DentalX permite a la Clínica acceder a los datos de un paciente, rectificarlos, cancelarlos y bloquearlos por sí misma.

7. Consentimiento de los pacientes y obligaciones de la Clínica

7.1 Consentimiento antes de introducir datos de salud. La Clínica obtiene de cada paciente, antes de introducir en DentalX cualquier dato de salud de ese paciente, un consentimiento expreso y por escrito para el tratamiento de sus datos de salud (Ley, art. 76). Ese consentimiento incluye una línea separada que autoriza el almacenamiento y tratamiento de sus datos en los Estados Unidos y en los demás países indicados en el Apéndice 3 del MDPA (Ley, art. 80.1). DentalX lo hace cumplir con el bloqueo de consentimiento de la cláusula 7.2(b), de modo que la transferencia nunca se realiza sin su fundamento. [[TO CONFIRM: opinión de los asesores dominicanos sobre si cabe fundar la transferencia en la excepción sanitaria del artículo 80; si la confirman, una nueva versión puede flexibilizar el bloqueo]]

7.2 Herramientas de DentalX. DentalX proporciona:

(a) una plantilla de consentimiento en español con esa línea separada;
(b) un bloqueo de consentimiento: DentalX no guarda datos de salud de un paciente hasta que conste un consentimiento firmado con esa línea separada. Antes de eso, la Clínica solo puede registrar el nombre, los datos de contacto y las citas del paciente, para poder enviarle el consentimiento [[TO CONFIRM: opinión de los asesores de que ese registro mínimo está amparado por el artículo 80 o por la propia solicitud de cita del paciente]];
(c) el almacenamiento y la exportación del consentimiento firmado; y
(d) una plantilla del manual interno de políticas y procedimientos que la Clínica debe adoptar (Ley, art. 13.5).

8. Vulneraciones de seguridad

8.1 Aviso a la Clínica. VstreamX notifica a la Clínica dentro de las 24 horas siguientes a haber establecido una vulneración que afecte a los Datos de la Clínica (cláusula 9 del MDPA).

8.2 Asistencia. La Ley no fija un plazo para la notificación por la Clínica. VstreamX asiste a la Clínica en toda notificación que esta decida o deba realizar.

9. Conservación

DentalX no suprime automáticamente los expedientes clínicos. La Clínica decide durante cuánto tiempo conservarlos, conforme a la normativa sanitaria. Al término del servicio, la exportación permite a la Clínica conservarlos (cláusula 14 del MDPA).

10. Ley aplicable

La Ley se aplica al tratamiento de los Datos de la Clínica cualquiera que sea la ley que rija la relación comercial conforme a la cláusula 23 del MDPA.

Puntos por confirmar antes de la publicación (República Dominicana)

La fecha de publicación.
La numeración exacta de las excepciones del artículo 80 invocadas (§5.2).
La opinión de los asesores dominicanos sobre la excepción sanitaria del artículo 80 y el registro mínimo previo al consentimiento (§7).