Apéndice 3 — Subencargados
Versión: 1.0. Este Apéndice se versiona separadamente del Acuerdo Marco y cambia conforme a la cláusula 7. La lista vigente está siempre en dentalx.studio/legal/subprocessors.
| # | Subencargado (entidad contratante) | Servicio | Datos de la Clínica que recibe | Lugar del tratamiento | Base de la transferencia para clínicas no estadounidenses | Notas |
|---|---|---|---|---|---|---|
| 1 | Google Cloud / Firebase (Google LLC) [[TO CONFIRM: entidad de Google que figura como contratante en la cuenta de Google Cloud de VstreamX]] | Alojamiento, base de datos, almacenamiento de archivos, inicio de sesión (incluidos los mensajes de texto con el código del segundo factor), funciones de servidor, copias de seguridad, registros de servidor | Todos los Datos de la Clínica | Estados Unidos: base de datos en la multirregión de EE. UU. (nam5); archivos, funciones y copias de seguridad en us-central1 (Iowa) | Data Processing Addendum de Google Cloud, con las CCT y la certificación de Google LLC en el EU-US / UK-US Data Privacy Framework [[TO CONFIRM: inscripción en el DPF verificada, con constancia fechada]] | Firestore, Cloud Storage y Cloud Functions están cubiertos por el Business Associate Agreement de Google Cloud. |
| 2 | Google Vertex AI (Gemini) (Google LLC) | Las funciones de IA que eligen usar los Usuarios de una clínica | El texto, la imagen o el documento enviado con cada solicitud de IA | Estados Unidos: el endpoint regional us-central1 (Iowa) de Google Cloud. [[BLOCKING TO CONFIRM: el endpoint regional funciona para todas las clínicas antes de la publicación (hoy el código usa por defecto el endpoint global, que puede atender una solicitud desde cualquier país); si VstreamX elige una región de la UE para las clínicas del EEE y del Reino Unido, se indica aquí y en el Anexo III del TM-EEA]] | Como en la fila 1 | Conforme a sus condiciones de Cloud, Google no usa los datos para entrenar sus modelos. El análisis de radiografías está desactivado para clínicas de EE. UU. |
| 3 | Google Workspace (Gmail) (Google LLC) [[BLOCKING TO CONFIRM: la cuenta de envío es una cuenta de Google Workspace (no una cuenta personal de Gmail) con el Cloud Data Processing Addendum de Google aceptado; una cuenta personal de Gmail no puede ser Subencargado]] | Recordatorios, llamadas a control, enlaces de consentimiento, recetas y planes de tratamiento enviados por correo electrónico | La dirección de correo del destinatario y el mensaje, con su PDF adjunto cuando lo hay | Estados Unidos y los demás países donde Google almacena datos de Workspace, según sus páginas de subencargados y de ubicación de datos de Workspace | Cloud Data Processing Addendum de Google aplicado a Google Workspace, con las CCT y la certificación DPF de Google LLC | Una única dirección remitente de DentalX envía por todas las clínicas. |
| 4 | Meta (WhatsApp Business Platform) (Meta Platforms, Inc. / WhatsApp LLC) [[TO CONFIRM: entidad de Meta contratante de la cuenta de WhatsApp Business de DentalX y condiciones de tratamiento aceptadas]] | Recordatorios, llamadas a control y bandeja bidireccional por WhatsApp, para las clínicas que envían a través de la cuenta de WhatsApp Business propia de DentalX | El teléfono del paciente, los mensajes enviados y recibidos, y los archivos que envía el paciente | Estados Unidos y otros países donde opera Meta | Condiciones de tratamiento de datos de WhatsApp Business de Meta, con CCT y la certificación DPF de Meta Platforms, Inc. [[TO CONFIRM]] | No disponible para clínicas de EE. UU. La clínica que conecta su propia cuenta de WhatsApp Business lo hace conforme a su propio acuerdo con Meta; esa cuenta no es un Subencargado. |
| 5 | Google reCAPTCHA (Google LLC) | Comprobar que hay una persona ante el navegador cuando un Usuario configura o usa un segundo factor por mensaje de texto | Información del navegador y del dispositivo que envía el navegador; ningún dato de pacientes | Estados Unidos y otros países donde opera Google | Como en la fila 1 | Solo se carga en las pantallas donde se configura o usa un segundo factor por mensaje de texto. |
Instrumentos de Transferencia. Cuando un Instrumento de Transferencia rige las transferencias de la Clínica (TM-BR para Brasil, TM-AR para Argentina), cada transferencia ulterior a un Subencargado se realiza también conforme a ese Instrumento, según indique el Anexo de País.
No son Subencargados:
- Stripe procesa la facturación propia de VstreamX y no recibe Datos de la Clínica.
- Los servicios que la propia Clínica conecta se rigen por el acuerdo propio de la Clínica con su proveedor: su propio Google Calendar y su propia cuenta de WhatsApp Business.
- OpenAI no es llamado por el Servicio. Si VstreamX llegara a habilitarlo, se aplicaría previamente la cláusula 7.3.
Índice de Anexos
Parte A — Documentos de todo paquete (fuera de EE. UU.)
MDPA: este Acuerdo Marco de Tratamiento de Datos, con los Apéndices 1 a 3.
Parte B — Anexos de País e Instrumentos de Transferencia
| País / provincia de la Clínica | Documentos que se añaden al MDPA |
|---|---|
| EEE: los 30 Estados ofrecidos | TM-EEA: Módulo de Transferencia del EEE (CCT UE 2021/914, Módulos 2 y 3) |
| España | TM-EEA + ANX-ES |
| Italia | TM-EEA + ANX-IT (con la aprobación del art. 1341) |
| Bélgica, Austria, Polonia, Suecia, Noruega, Países Bajos | TM-EEA + ANX-BE / -AT / -PL / -SE / -NO / -NL |
| Reino Unido | TM-UK + ANX-UK |
| Canadá: Columbia Británica | ninguno |
| Canadá: Ontario, Quebec, Alberta, Manitoba, Saskatchewan, Nueva Escocia, Nuevo Brunswick | ANX-CA-ON / -QC / -AB / -MB / -SK / -NS / -NB |
| México | ANX-MX |
| Colombia | ANX-CO |
| Perú | ANX-PE |
| Chile | ANX-CL |
| Argentina | ANX-AR + TM-AR |
| Brasil | TM-BR + ANX-BR (prevalece el portugués) |
| Ecuador (cuando se abra) | ANX-EC |
| Guatemala | ninguno (MDPA en español) |
| Costa Rica / Panamá / República Dominicana | ANX-CAC §CR / §PA / §DO |
| Otro país | ATT-OTHER (declaración); addendum de CCT a solicitud |
Parte C — Estados Unidos
Las Clínicas de EE. UU. aceptan el Business Associate Agreement de DentalX en lugar de este Acuerdo.
Parte D — Países no ofrecidos
DentalX no se ofrece por ahora a Clínicas de Francia, Finlandia ni Alemania, ni de las provincias y territorios canadienses no enumerados en la Parte B (Terranova y Labrador, Isla del Príncipe Eduardo, Yukón, Territorios del Noroeste y Nunavut).
Puntos por confirmar antes de la publicación
Son los mismos 21 puntos de la versión inglesa (../mdpa.md). Estos son:
- La fecha de publicación.
- La eliminación automática de versiones de archivos en la fecha de supresión.
- La lista de exclusión de WhatsApp por clínica, suprimida con los Datos de la Clínica.
- La dirección de privacidad dedicada y la oficina de privacidad externa.
- El representante en la UE.
- El representante en el Reino Unido.
- La fecha de la fase B′.
- La fecha de finalización del barrido de sellado.
- La copia de la clave fuera de la plataforma.
- La custodia de la clave en Cloud EKM/HSM.
- La verificación en dos pasos de los administradores.
- El registro de toda lectura.
- Los compromisos de confidencialidad y la formación.
- La ausencia de certificación propia.
- La entidad contratante de Google.
- La inscripción en el DPF de Google y Meta.
- Bloqueante: el endpoint regional de Vertex AI.
- Bloqueante: la cuenta de Google Workspace del remitente, con el Cloud Data Processing Addendum.
- La entidad contratante y las condiciones de Meta.
- La correspondencia de las condiciones de cada Subencargado con el artículo 28.3 del RGPD y las cláusulas de la ANPD (cláusula 7.2).
- La supresión o anonimización del registro de auditoría en la fecha de supresión (cláusula 14.5(c)).