Panamá — ANX-CAC §PA: Anexo Centroamérica y Caribe, Sección Panamá
ID del documento: ANX-CAC §PA · Versión: 1.0 · Fecha de entrada en vigor: [[TO CONFIRM: fecha de publicación]]
Idioma: este texto en español es el auténtico. La versión en inglés (../annex-pa.md) es una traducción de conveniencia.
Se aplica a: las Clínicas establecidas en la República de Panamá. Forma parte del Acuerdo Marco de Tratamiento de Datos (el "MDPA"). Los términos definidos en el MDPA tienen aquí el mismo significado.
1. Marco legal y roles
1.1 Roles. Esta Sección rige el tratamiento de los Datos de la Clínica por:
- VstreamX, como custodio o encargado del tratamiento; y
- la Clínica, como responsable del tratamiento.
1.2 La ley. Se celebra conforme a la Ley 81 de 2019 sobre Protección de Datos Personales (la "Ley") y al Decreto Ejecutivo 285 de 2021 (el "Decreto").
1.3 Aceptación electrónica. Conforme al artículo 47 del Decreto, la relación con el custodio puede establecerse por contrato, inclusive por medios electrónicos. Esta Sección y el MDPA son ese contrato.
2. Contenido exigido por el artículo 48 del Decreto
VstreamX:
- trata los Datos de la Clínica únicamente conforme a las instrucciones documentadas de la Clínica (cláusula 3 del MDPA), y le informa si una instrucción es contraria a la Ley;
- adopta las medidas de seguridad del Apéndice 2 del MDPA, adecuadas para datos sensibles de salud;
- guarda la confidencialidad de los datos y garantiza que las personas autorizadas para tratarlos estén sujetas a confidencialidad (cláusula 5 del MDPA);
- no comunica los datos a terceros, salvo a los subcustodios autorizados (cláusula 3) o cuando la ley lo exija;
- recurre a subcustodios únicamente conforme a la cláusula 3;
- asiste a la Clínica en la atención de los derechos de acceso, rectificación, cancelación, oposición y portabilidad (cláusula 6);
- asiste a la Clínica en el cumplimiento de sus obligaciones de seguridad, incluida la notificación de vulneraciones (cláusula 5), y pone a disposición la información necesaria para demostrar el cumplimiento, permitiendo auditorías (cláusula 12 del MDPA); y
- al término del servicio, devuelve los datos a la Clínica y los suprime (cláusula 14 del MDPA).
[[TO CONFIRM: concordancia de los puntos 1 a 8 con la redacción y numeración del artículo 48 del Decreto Ejecutivo 285 de 2021]]
3. Subcustodios (Decreto, art. 49)
3.1 Autorización general. La Clínica otorga una autorización general para que VstreamX recurra a los subcustodios enumerados en el Apéndice 3 del MDPA.
3.2 Cambios. VstreamX informa a la Clínica de todo cambio previsto con al menos 30 días de antelación. La Clínica puede oponerse (cláusula 7 del MDPA).
3.3 Obligaciones. Cada subcustodio queda sujeto a las mismas obligaciones que VstreamX. VstreamX sigue siendo responsable por ellos.
4. Transferencia transfronteriza
4.1 Cláusulas contractuales. Los Datos de la Clínica se tratan en Canadá (VstreamX) y en los Estados Unidos y otros países (subcustodios). Esta transferencia se realiza conforme a las cláusulas contractuales de esta Sección y del MDPA, según lo permite el artículo 53.1 del Decreto.
4.2 Garantía de VstreamX. VstreamX garantiza que ella y cada subcustodio aplican a los Datos de la Clínica estándares de protección iguales o superiores a los de la Ley y el Decreto (Decreto, art. 5).
4.3 Fundamento de servicios de salud. La transferencia es además necesaria para la gestión de los servicios de salud prestados al titular (Ley, art. 33). Este fundamento la respalda subsidiariamente, pero no sustituye las cláusulas.
4.4 La Clínica informa a sus pacientes. La Clínica informa a sus pacientes de la transferencia conforme a la cláusula 9.
5. Vulneraciones de seguridad
5.1 Aviso a la Clínica. VstreamX notifica a la Clínica de inmediato al establecer una vulneración que afecte a los Datos de la Clínica, y en todo caso dentro de las 24 horas (cláusula 9 del MDPA).
5.2 Lo que debe hacer la Clínica. Esto permite a la Clínica notificar a la Autoridad Nacional de Transparencia y Acceso a la Información ("ANTAI") y a los titulares afectados dentro de las 72 horas.
6. Derechos de los titulares
VstreamX asiste a la Clínica dentro de los 5 días hábiles siguientes a su solicitud (cláusula 8 del MDPA), incluida la portabilidad de los datos en un formato estructurado y de uso común.
7. Oficial de Protección de Datos
7.1 El oficial de VstreamX. Como garantía adicional conforme al artículo 47 del Decreto, VstreamX designa a su Oficial de Protección de Datos para el tratamiento de los Datos de la Clínica: [[TO CONFIRM: nombre y correo del Oficial de Protección de Datos de VstreamX]].
7.2 El oficial de la Clínica. La Clínica registra en el Servicio a su propio oficial cuando lo tenga.
8. Registro de bases de datos
La Clínica lleva el registro de sus bases de datos conforme al artículo 35 del Decreto. DentalX proporciona:
- un generador con los campos requeridos; y
- un registro de accesos.
VstreamX coopera con toda inscripción que la Clínica deba realizar (cláusula 11.2 del MDPA).
9. Obligaciones de la Clínica
La Clínica es responsable de:
- informar a sus pacientes de los elementos del artículo 14 del Decreto, incluidos la transferencia a los Estados Unidos, el uso de IA y la lógica aplicada. DentalX proporciona la plantilla; y
- obtener el consentimiento expreso de los pacientes para el tratamiento de sus datos de salud, de forma trazable, cuando no se aplique otro fundamento.
10. Historia clínica
10.1 Historial de cambios. Conforme a la Ley 68 de 2003 sobre derechos de los pacientes, la historia clínica debe conservar el historial de cada anotación con el profesional, la fecha y la firma. DentalX lleva el registro de auditoría descrito en el Apéndice 2 del MDPA. [[TO CONFIRM: que las anotaciones clínicas registran un historial de cambios inalterable con profesional, fecha y firma]]
10.2 Conservación. La historia clínica debe conservarse por un mínimo de 20 años después del fallecimiento del paciente, conforme a la Ley 68 de 2003. DentalX no suprime automáticamente las historias clínicas. Al término del servicio, la exportación permite a la Clínica conservarlas.
11. Inteligencia artificial
Las funciones de IA son una herramienta de apoyo a la decisión del profesional y no adoptan decisiones sobre los pacientes. El Servicio etiqueta los resultados de la IA, y un profesional debe revisarlos (Términos de DentalX, sección 6).
12. Ley aplicable
La Ley y el Decreto se aplican al tratamiento de los Datos de la Clínica cualquiera que sea la ley que rija la relación comercial conforme a la cláusula 23 del MDPA.
Puntos por confirmar antes de la publicación (Panamá)
- La fecha de publicación.
- La concordancia de los puntos 1 a 8 con el artículo 48 del Decreto Ejecutivo 285 de 2021 (§2).
- El nombre y el correo del Oficial de Protección de Datos de VstreamX (§7.1).
- Que las anotaciones clínicas registran un historial de cambios inalterable con profesional, fecha y firma (§10.1).