DentalX Volver al inicio

Anexo Perú: Contrato de Encargo y Cláusulas de Flujo Transfronterizo

ANX-PE · Borrador del 6 de octubre de 2026 · revisión 1 · versión 1.0

Borrador final para revisión de los abogados. No está en vigor y ninguna clínica lo ha aceptado. Los puntos por confirmar aparecen resaltados en el texto.

Este es el texto que prevalece.

Leer en: English · Español

SHA-256 de este texto: 772a7651ee9f6c37e74ee9e4efad64ecec020bada882eb6bd61d0eec4d3bd28f

Perú — ANX-PE: Contrato de Encargo y Cláusulas de Flujo Transfronterizo

ID del documento: ANX-PE · Versión: 1.0 · Fecha de entrada en vigor: [[TO CONFIRM: fecha de publicación]] Idioma: este texto en español es el auténtico. La versión en inglés (../annex-pe.md) es una traducción de conveniencia. Se aplica a: las Clínicas establecidas en la República del Perú. Forma parte del Acuerdo Marco de Tratamiento de Datos (el "MDPA"). Los términos definidos en el MDPA tienen aquí el mismo significado.

1. Marco legal y roles

1.1 Roles. Este Anexo rige el tratamiento de los Datos de la Clínica por:

  • VstreamX, como encargado del tratamiento; y
  • la Clínica, como titular del banco de datos personales y responsable del tratamiento.

1.2 La ley. Se celebra conforme a la Ley 29733, Ley de Protección de Datos Personales ("Ley 29733"), y a su Reglamento aprobado por Decreto Supremo 016-2024-JUS (el "Reglamento").

1.3 VstreamX queda obligada directamente. Conforme al artículo VI del Título Preliminar del Reglamento, VstreamX queda directamente sujeta a la Ley 29733 y al Reglamento respecto del tratamiento que realiza por cuenta de la Clínica.

2. Tratamiento por encargo

2.1 Alcance. VstreamX trata los Datos de la Clínica únicamente:

  • para prestar DentalX a la Clínica, según describe el Apéndice 1 del MDPA; y
  • conforme a las instrucciones documentadas de la Clínica (cláusula 3 del MDPA).

2.2 Ninguna otra finalidad. No los trata para ninguna otra finalidad ni los comunica a terceros distintos de los Subencargados de la cláusula 4.

3. Servicios de cómputo en la nube

Conforme a los artículos 28 a 30 del Reglamento, VstreamX, como prestadora del tratamiento mediante servicios de cómputo en la nube:

  • (a) informa a la Clínica de la ubicación del tratamiento y de cada Subencargado (cláusula 13.1 y Apéndice 3 del MDPA);
  • (b) aplica las medidas de seguridad del Apéndice 2 del MDPA;
  • (c) no usa los Datos de la Clínica para fines propios (cláusula 4 del MDPA);
  • (d) garantiza la devolución y la supresión de los Datos de la Clínica al término del servicio (cláusula 6);
  • (e) permite a la Clínica verificar el cumplimiento (cláusula 12 del MDPA); y
  • (f) informa a la Clínica de todo requerimiento de una autoridad (cláusula 16 del MDPA).

4. Subencargados

4.1 Autorización. Conforme a los artículos 32 y 33 del Reglamento, la Clínica autoriza a los Subencargados enumerados en el Apéndice 3 del MDPA.

4.2 Obligaciones. Cada Subencargado queda sujeto a obligaciones equivalentes a las de VstreamX. VstreamX sigue siendo responsable ante la Clínica por ellos.

4.3 Cambios. Los cambios siguen la cláusula 7 del MDPA.

5. Flujo transfronterizo de datos

5.1 El flujo. El tratamiento de los Datos de la Clínica por VstreamX en Canadá, y por los Subencargados en los Estados Unidos y otros países, constituye un flujo transfronterizo de datos personales conforme a la Ley 29733 y al Reglamento.

5.2 Garantías contractuales. Conforme a los artículos 18 a 20 del Reglamento, VstreamX, como destinataria del flujo, garantiza a la Clínica un nivel de protección al menos equiparable al de la Ley 29733. En particular, VstreamX:

  • (a) trata los datos únicamente para las finalidades del Apéndice 1 del MDPA;
  • (b) aplica las medidas de seguridad del Apéndice 2 del MDPA;
  • (c) guarda confidencialidad (cláusula 5 del MDPA);
  • (d) permite a los titulares ejercer sus derechos a través de la Clínica (cláusula 9);
  • (e) no realiza flujos ulteriores, salvo a los Subencargados del Apéndice 3 del MDPA, con obligaciones equivalentes a estas; y
  • (f) se somete a la supervisión de la Autoridad Nacional de Protección de Datos Personales ("ANPD") respecto del tratamiento de los Datos de la Clínica, y coopera con ella.

5.3 Comunicación a la ANPD.

  • La obligación de la Clínica. Conforme al artículo 21.2 del Reglamento, la Clínica comunica el flujo transfronterizo a la ANPD.
  • La ayuda de VstreamX. VstreamX proporciona en el Servicio una comunicación precompletada con la identidad del destinatario, los países de destino, los Subencargados y las finalidades.
  • La declaración. La Clínica declara en el Servicio, dentro de los 30 días siguientes a la aceptación, que ha efectuado la comunicación y que su banco de datos está inscrito en el Registro Nacional de Protección de Datos Personales.
  • Efecto. Hasta entonces, el Servicio se lo recuerda, sin bloquearla.

5.4 Cláusulas modelo. Si la ANPD aprueba cláusulas modelo para flujos transfronterizos, VstreamX las adoptará conforme a la cláusula 18.4 del MDPA. [[TO CONFIRM: si la ANPD ha publicado cláusulas modelo o una posición sobre los Estados Unidos]]

6. Devolución y supresión: límite de dos años

6.1 Primero la devolución. Al término del servicio, la exportación completa de la cláusula 14 del MDPA constituye la devolución de los Datos de la Clínica.

6.2 El límite de dos años. Conforme al artículo 31.2 del Reglamento, VstreamX no conserva datos personales de la Clínica por más de dos años después del término del servicio. En particular:

  • (a) los Datos de Pacientes se suprimen conforme a la cláusula 14 del MDPA (dentro de los 30 días siguientes al día 90 posterior al término);
  • (b) el registro de auditoría se devuelve en la exportación, y VstreamX suprime o anonimiza su copia en la fecha de supresión (cláusula 14.5(c) del MDPA), muy dentro del límite de dos años;
  • (c) las copias de seguridad caducan dentro de los siete días siguientes a la supresión; y
  • (d) el registro de bajas de WhatsApp se suprime con los Datos de la Clínica en la fecha de supresión (cláusula 14.5(d) del MDPA).

7. Seguridad

7.1 Medidas. VstreamX aplica las medidas del Apéndice 2 del MDPA, que corresponden al tratamiento de datos sensibles. Además, conforme al artículo 46 del Reglamento y a las disposiciones de seguridad aplicables, VstreamX:

  • (a) conserva los registros de acceso del Servicio durante al menos dos años mientras la Clínica esté activa;
  • (b) revisa cada seis meses los privilegios de acceso de su propio personal al entorno de producción; y
  • (c) realiza copias de seguridad al menos semanales y verifica periódicamente su restauración. Las copias de seguridad de DentalX son diarias. [[TO CONFIRM: frecuencia de las pruebas de restauración que realiza VstreamX]]

7.2 El registro de auditoría. El registro de auditoría descrito en el Apéndice 2 del MDPA se conserva siete años mientras la cuenta de la Clínica está activa, y tras el término conforme a la cláusula 6.2(b).

8. Incidentes de seguridad

8.1 Aviso a la Clínica. VstreamX notifica a la Clínica de inmediato al establecer un incidente que afecte a los Datos de la Clínica, y en todo caso dentro de las 24 horas, conforme al artículo 36 del Reglamento y a la cláusula 9 del MDPA.

8.2 Lo que debe hacer la Clínica. Esto permite a la Clínica notificar:

  • a la ANPD y a los titulares afectados dentro de las 48 horas; y
  • cuando se trate de un incidente digital, al Centro Nacional de Seguridad Digital.

8.3 Asistencia. VstreamX proporciona la información que posee para esas notificaciones.

9. Derechos de los titulares

VstreamX asiste a la Clínica dentro de los 5 días hábiles siguientes a su solicitud (cláusula 8 del MDPA) para atender, dentro de los plazos legales, los derechos de información, acceso, rectificación, cancelación, oposición y los demás previstos en la Ley 29733.

10. Historia clínica electrónica (SIHCE)

10.1 Sin acreditación. DentalX no es un Sistema de Información de Historias Clínicas Electrónicas acreditado por el Ministerio de Salud. No utiliza la firma digital acreditada, las verificaciones de identidad del RENIEC ni la conexión con el RENHICE que la Ley 30024 y sus normas exigen para que una historia clínica electrónica tenga validez legal.

10.2 Efecto. En consecuencia, DentalX no sustituye una historia clínica electrónica legalmente válida. La Clínica sigue siendo responsable de llevar su historia clínica en forma legalmente válida. [[TO CONFIRM: si la Directiva 373-MINSA/OGTI-2025 evalúa a los consultorios dentales privados]]

11. Conservación de las historias clínicas

11.1 La obligación de la Clínica. La Clínica debe conservar sus historias clínicas por un mínimo de 20 años (5 en el archivo activo y 15 en el archivo pasivo), conforme a la norma técnica del Ministerio de Salud. DentalX no suprime automáticamente las historias clínicas.

11.2 Al término del servicio. La exportación permite a la Clínica conservarlas después de la supresión de la cláusula 6.

12. Obligaciones de la Clínica

La Clínica es responsable de:

  • informar a sus pacientes conforme al artículo 18 de la Ley 29733, incluso sobre el flujo transfronterizo, el destinatario y las finalidades;
  • obtener el consentimiento por escrito de cada paciente para el tratamiento de sus datos de salud, cuando no se aplique una excepción. DentalX proporciona la plantilla;
  • inscribir su banco de datos; y
  • comunicar el flujo transfronterizo (cláusula 5.3).

13. Oficial de datos personales

13.1 VstreamX. VstreamX designará un Oficial de Datos Personales conforme al artículo 37 del Reglamento, según el calendario aplicable a su tamaño. Se prevé que sea exigible desde el 30 de noviembre de 2028, y se admite un oficial externo. [[TO CONFIRM: clasificación por tamaño de VstreamX y fecha de designación]]

13.2 La Clínica. La Clínica registra en el Servicio a su propio oficial cuando deba designarlo.

13.3 Representante en el Perú. Cuando el Reglamento exija que un responsable no establecido en el Perú, que ofrece servicios a personas en el Perú, designe un representante en o para el Perú, VstreamX lo designa para el tratamiento en el que ella misma es responsable (Datos de Cuenta), y lo indica en su Política de Privacidad y aquí: [[TO CONFIRM: confirmación por asesores peruanos del deber de designar representante conforme al D.S. 016-2024-JUS (número de artículo) y su exigibilidad, y el nombre y la dirección del representante]].

14. Ley aplicable

La Ley 29733 y el Reglamento se aplican al tratamiento de los Datos de la Clínica cualquiera que sea la ley que rija la relación comercial conforme a la cláusula 23 del MDPA.

Puntos por confirmar antes de la publicación (Perú)

  1. La fecha de publicación.
  2. Las cláusulas modelo de la ANPD para flujos transfronterizos, o su posición sobre los Estados Unidos (§5.4).
  3. La implementación de la supresión o anonimización del registro de auditoría en la fecha de supresión (§6.2(b); cláusula 14.5(c) del MDPA).
  4. La implementación de la lista de exclusión de WhatsApp por clínica (§6.2(d); cláusula 14.5(d) del MDPA).
  5. La frecuencia de las pruebas de restauración (§7.1(c)).
  6. El alcance de la Directiva 373-MINSA/OGTI-2025 respecto de los consultorios dentales privados (§10).
  7. La clasificación por tamaño de VstreamX y la fecha de designación del oficial (§13.1).
  8. El deber de designar un representante en el Perú, y su nombre y dirección (§13.3).