Anexo Ecuador: Contrato de Encargo

Ecuador — ANX-EC: Contrato de Encargo

ID del documento: ANX-EC · Versión: 1.0 · Estado: PREPARADO, NO VIGENTE. Ecuador no se ofrece en el registro hasta que VstreamX complete los requisitos de la cláusula 12. Las Clínicas ecuatorianas existentes pueden aceptarlo en la aplicación conforme a la cláusula 12.3. Idioma: este texto en español es el auténtico. La versión en inglés (../annex-ec.md) es una traducción de conveniencia. Se aplica a: las Clínicas establecidas en la República del Ecuador. Forma parte del Acuerdo Marco de Tratamiento de Datos (el "MDPA"). Los términos definidos en el MDPA tienen aquí el mismo significado.

1. Marco legal y roles

1.1 Las partes y la ley. Este Anexo es el contrato de encargo entre:

• la Clínica, como responsable del tratamiento; y
• VstreamX, como encargado del tratamiento.

Se celebra conforme a la Ley Orgánica de Protección de Datos Personales ("LOPDP"), a su Reglamento General ("RGLOPDP") y a las resoluciones de la Superintendencia de Protección de Datos Personales ("SPDP").

1.2 Contenido. Contiene lo exigido por el artículo 41 del RGLOPDP y el artículo 34 de la LOPDP. [[TO CONFIRM: referencias definitivas de los artículos frente a los textos oficiales]]

1.3 No es una transferencia. La comunicación de los Datos de la Clínica a VstreamX conforme a este Anexo es un encargo y no una transferencia internacional (Resolución SPDP 2026-0004-R, art. 23). [[TO CONFIRM: opinión de los asesores sobre si el tramo VstreamX → Google constituye una transferencia que requiera cláusulas adicionales y un informe anual]]

2. Contenido exigido por el artículo 41 del RGLOPDP

3. Obligaciones del encargado

VstreamX:

• (a) trata los Datos de la Clínica únicamente conforme a las instrucciones documentadas de la Clínica (cláusula 3 del MDPA), e informa de inmediato a la Clínica si una instrucción infringe la LOPDP;
• (b) no utiliza los Datos de la Clínica para fines propios ni distintos de los instruidos (cláusula 4 del MDPA);
• (c) no utiliza datos de salud anonimizados o seudonimizados de titulares ecuatorianos para ningún fin, incluidos la investigación, la estadística o el entrenamiento de modelos, sin la autorización que exige el artículo 31.3 de la LOPDP. VstreamX no solicita tal autorización. Esta prohibición se aplica a todos los Datos de la Clínica, conforme a la cláusula 4.2 del MDPA;
• (d) guarda confidencialidad y obliga a su personal a ello (cláusula 5 del MDPA);
• (e) aplica las medidas de seguridad del Apéndice 2 del MDPA;
• (f) asiste a la Clínica en relación con los derechos de los titulares (cláusula 6), las vulneraciones de seguridad (cláusula 7) y las evaluaciones de impacto (cláusula 10 del MDPA);
• (g) lleva un registro de las actividades de tratamiento que realiza como encargado (cláusula 11 del MDPA);
• (h) permite y contribuye a las auditorías de la Clínica o de la SPDP (cláusula 12 del MDPA), incluida la verificación del cumplimiento por la SPDP; y
• (i) devuelve o destruye los Datos de la Clínica al término del servicio (cláusula 5).

4. Subencargados

4.1 Autorización. La Clínica autoriza a los siguientes subencargados, cada uno identificado con su país (RGLOPDP, art. 45):

4.2 Cambios. Todo subencargado nuevo o sustituto requiere la autorización expresa y por escrito de la Clínica en el Servicio antes de que se le dirijan los datos de la Clínica (cláusula 7.5 del MDPA).

4.3 Obligaciones. Cada subencargado queda sujeto a las mismas obligaciones que VstreamX. VstreamX sigue siendo plenamente responsable por ellos.

5. Devolución o destrucción

5.1 Devolución. Al término del servicio, VstreamX devuelve los Datos de la Clínica a la Clínica mediante la exportación completa (cláusula 14 del MDPA).

5.2 Destrucción. Luego los destruye dentro de los plazos de la cláusula 14 del MDPA, y entrega a la Clínica un certificado escrito de destrucción que indica qué se destruyó, cuándo y por qué método.

5.3 Supervisión. Cuando la normativa o la SPDP exijan que la destrucción sea supervisada o verificada, VstreamX permite esa supervisión y aporta la evidencia. [[TO CONFIRM: exigencia vigente de la SPDP sobre destrucción supervisada]]

5.4 Lo que subsiste. Solo subsisten las copias de seguridad de la base de datos, que caducan dentro de los siete días siguientes a la destrucción (cláusula 14.5(a) del MDPA). El registro de auditoría se devuelve en la exportación, y VstreamX suprime o anonimiza su copia (cláusula 14.5(c) del MDPA).

6. Derechos de los titulares

VstreamX asiste a la Clínica dentro de los 5 días hábiles siguientes a su solicitud (cláusula 8 del MDPA). Esto permite a la Clínica responder dentro del plazo de 15 días de la LOPDP.

7. Vulneraciones de seguridad

7.1 Aviso a la Clínica. VstreamX notifica a la Clínica toda vulneración de seguridad que afecte a los Datos de la Clínica dentro de los 2 días hábiles siguientes a tener conocimiento de ella, y en todo caso dentro de las 24 horas de la cláusula 9 del MDPA cuando la haya establecido (Resolución SPDP 2026-0040-R, art. 11).

7.2 Dónde se envía el aviso. El aviso se envía por correo electrónico a la dirección que la Clínica designe en el Servicio para ese fin: «Clinic breach-notice email».

7.3 Lo que debe hacer la Clínica. Esto permite a la Clínica notificar a la SPDP y a ARCOTEL dentro de los 5 días hábiles, y a los titulares dentro de los 3 días.

8. Responsabilidad

8.1 Sin exención. Ninguna cláusula de los Términos ni del MDPA exime o limita la responsabilidad de VstreamX por el incumplimiento de sus obligaciones conforme a la LOPDP, el RGLOPDP o este Anexo, en la medida en que la Resolución SPDP 2025-0006-R prohíbe tales exenciones (cláusula 17.2(b) del MDPA).

8.2 Responsabilidad solidaria. VstreamX responde solidariamente con la Clínica cuando la LOPDP así lo disponga.

9. Representación de VstreamX en el Ecuador

9.1 Apoderado especial. VstreamX se obliga a designar un apoderado especial domiciliado en el Ecuador, y a registrar su poder apostillado ante la SPDP, antes de que el Ecuador se ofrezca a nuevas Clínicas. Una vez designado, se indica aquí y en el Servicio:

• nombre: [[TO CONFIRM: nombre del apoderado especial]];
• dirección: [[TO CONFIRM: dirección del apoderado especial]];
• correo electrónico: [[TO CONFIRM: correo del apoderado especial]].

9.2 Delegado de protección de datos. VstreamX se obliga a registrar ante la SPDP a su Delegado de Protección de Datos antes de que el Ecuador se ofrezca a nuevas Clínicas. Una vez registrado:

• nombre: [[TO CONFIRM: nombre del DPD registrado]];
• correo electrónico: [[TO CONFIRM: correo del DPD registrado]].

9.3 Clínicas existentes. Para una Clínica que acepte este Anexo conforme a la cláusula 12.3 antes de que se completen estos pasos, las cláusulas 9.1 y 9.2 son compromisos sujetos al plan fechado de la cláusula 12.3, y no declaraciones de que los pasos estén completos.

10. Obligaciones de la Clínica

La Clínica es responsable de:

• informar a sus pacientes, incluso sobre el tratamiento por VstreamX y las funciones de IA (LOPDP, art. 12);
• la base legal del tratamiento de los datos de salud;
• inscribirse en el SISPDP cuando corresponda. VstreamX proporciona la información sobre el encargado y los subencargados, con su ubicación, conservación y medidas de seguridad; y
• designar su propio delegado de protección de datos cuando corresponda.

11. Conservación de las historias clínicas

La Clínica conserva sus historias clínicas durante el plazo que exige la normativa sanitaria [[TO CONFIRM: plazo de conservación, indicado en fuentes secundarias como 15 años]]. DentalX no suprime automáticamente las historias clínicas.

12. Entrada en vigor

12.1 Requisitos previos. Este Anexo entra en vigor para nuevas Clínicas cuando VstreamX haya completado todo lo siguiente:

• (a) la designación y el registro de su apoderado especial;
• (b) el registro de su DPD, aprobado en el curso de la SPDP;
• (c) su registro de actividades de tratamiento como encargado;
• (d) la evaluación de impacto de las funciones de IA; y
• (e) la publicación en su política de privacidad del tratamiento a gran escala que realiza.

12.2 La auditoría. VstreamX también asume la auditoría anual que le es exigible y conserva sus informes durante 5 años.

12.3 Clínicas existentes. Una Clínica ecuatoriana que ya usa DentalX puede aceptar este Anexo en la aplicación antes de que se completen los requisitos. VstreamX los completará entonces según el plan fechado que entregue a la Clínica: [[TO CONFIRM: plan fechado para completar los requisitos ecuatorianos]].

13. Ley aplicable

La LOPDP y su normativa se aplican al tratamiento de los Datos de la Clínica cualquiera que sea la ley que rija la relación comercial conforme a la cláusula 23 del MDPA.

Puntos por confirmar antes de la publicación (Ecuador)

1. Las referencias definitivas de los artículos (§1.2).
2. Si el tramo VstreamX → Google constituye una transferencia (§1.3).
3. El endpoint de Vertex AI en la publicación (§4.1).
4. La exigencia vigente de la SPDP sobre destrucción supervisada (§5.3).
5. El nombre, la dirección y el correo del apoderado especial (§9.1).
6. El nombre y el correo del DPD registrado (§9.2).
7. El plazo de conservación de las historias clínicas (§11).
8. El plan fechado para completar los requisitos (§12.3).