Acuerdo Marco de Tratamiento de Datos

Acuerdo Marco de Tratamiento de Datos de DentalX

ID del documento: MDPA · Versión: 1.0 · Idioma: español · Fecha de entrada en vigor: [[TO CONFIRM: fecha de publicación de la v1.0]] Estado: borrador final para revisión de los asesores jurídicos. Aún no publicado.

Texto auténtico. Esta versión en español es el texto auténtico para las Clínicas de México, Colombia, Perú, Chile, Argentina, Ecuador, Guatemala, Costa Rica, Panamá, República Dominicana y España (cláusula 22).

Convenciones de redacción. El texto entre «comillas angulares» es un campo combinado: el servidor de DentalX lo completa con los datos del registro o de la aceptación antes de mostrar el documento, y el texto completado es el que se resume (hash) y se registra. El texto entre [[TO CONFIRM: …]] es un hecho aún no conocido; todos se listan al final. Ninguno de los dos aparece en una versión publicada.

Partes

1. «Clinic legal name», «Clinic tax identifier type» «Clinic tax identifier», con domicilio en «Clinic address», «Country» (la "Clínica"); y
2. VstreamX Studio Inc., sociedad constituida conforme a las leyes de la Provincia de Manitoba, Canadá, con domicilio social en Office B – 1043 Rosser Ave, Brandon, Manitoba R7A 0L5, Canadá ("VstreamX").

Cada una, una "Parte".

Antecedentes

A. VstreamX presta DentalX, un servicio de software en la nube para la gestión de clínicas dentales, conforme a los Términos del Servicio de DentalX (los "Términos").

B. Al prestar DentalX, VstreamX trata, por cuenta de la Clínica, datos personales de los pacientes de la Clínica y de otras personas, incluidos datos de salud.

C. Las leyes aplicables a la Clínica exigen un acuerdo escrito con el proveedor que trata datos personales, y en particular información personal de salud, por cuenta de la Clínica. Este Acuerdo es ese acuerdo. Cuando una ley prescribe un contenido que este Acuerdo no recoge, lo aporta el Anexo de País o el Instrumento de Transferencia correspondiente al país de la Clínica.

D. En consecuencia, las Partes acuerdan lo siguiente.

1. Definiciones e interpretación

1.1 Definiciones. En este Acuerdo:

• "Acuerdo" significa este Acuerdo Marco de Tratamiento de Datos, sus Apéndices y los Anexos de País e Instrumentos de Transferencia que se aplican a la Clínica conforme a la cláusula 2.3.
• "Legislación de Protección de Datos Aplicable" significa toda ley y reglamento en materia de privacidad, protección de datos, información de salud o secreto profesional aplicable al tratamiento de los Datos de la Clínica conforme a este Acuerdo, incluidos, en la medida en que se apliquen: el Reglamento General de Protección de Datos de la UE 2016/679 ("RGPD"); el UK GDPR y la Data Protection Act 2018; la Personal Information Protection and Electronic Documents Act de Canadá ("PIPEDA") y las leyes provinciales mencionadas en los Anexos canadienses; y las leyes latinoamericanas mencionadas en los Anexos de País.
• "Datos de la Clínica" significa todos los Datos Personales que VstreamX trata por cuenta de la Clínica al prestar el Servicio. Incluye los Datos de Pacientes y los datos personales del personal de la Clínica que esta conserva en DentalX. No incluye los Datos de Cuenta.
• "Datos de Cuenta" significa los datos personales que VstreamX trata como responsable independiente para gestionar su relación con la Clínica: nombres, correos electrónicos, roles y registros de acceso y seguridad de los Usuarios; contactos de facturación; y la correspondencia de soporte. La Política de Privacidad de VstreamX rige los Datos de Cuenta.
• "Datos de Pacientes" tiene el significado que le dan los Términos. Incluye información de salud, citas, tratamientos, odontogramas, radiografías, fotografías, documentos, formularios de consentimiento y su evidencia de firma, recetas, facturas y mensajes intercambiados con la Clínica.
• "Anexo de País" significa un anexo de este Acuerdo para un país o una provincia canadiense, enumerado en la Parte B del Índice de Anexos.
• "Instrumento de Transferencia" significa un conjunto de cláusulas contractuales tipo, o un contrato modelo adoptado por una autoridad pública, que las Partes celebran mediante este Acuerdo: las Cláusulas Contractuales Tipo de la UE (TM-EEA), el Addendum de Transferencia Internacional de Datos del Reino Unido (TM-UK), las Cláusulas-Padrão Contratuais de la ANPD (TM-BR) y el contrato modelo argentino (TM-AR).
• "Titular" significa la persona física identificada o identificable a la que se refieren los Datos de la Clínica.
• "Instrucciones" tiene el significado que le da la cláusula 3.1.
• "Datos Personales" significa toda información relativa a un Titular, e incluye los "datos personales", "información personal de salud", "dados pessoais" y "renseignements personnels" según los defina la Legislación de Protección de Datos Aplicable.
• "Violación de Seguridad de los Datos Personales" significa toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos de la Clínica tratados por VstreamX o un Subencargado, o la comunicación o el acceso no autorizados a ellos. Incluye el "incidente de confidencialidad", la "violación de seguridad", el "incidente de segurança" y la "breach of security safeguards" según los defina la Legislación de Protección de Datos Aplicable.
• "Incidente de Seguridad" significa una Violación de Seguridad de los Datos Personales, o un intento o sospecha de ella que VstreamX considere razonablemente que podría comprometer los Datos de la Clínica.
• "Servicio" significa DentalX según lo definen los Términos.
• "Subencargado" significa el tercero al que VstreamX encarga el tratamiento de Datos de la Clínica. Los Subencargados a la fecha de entrada en vigor figuran en el Apéndice 3.
• "Autoridad de Control" significa la autoridad pública competente en materia de protección de datos o de supervisión de información de salud respecto de la Clínica o de VstreamX.
• "Usuarios" tiene el significado que le dan los Términos.

1.2 Denominación de los roles. La Legislación de Protección de Datos Aplicable usa nombres distintos para los mismos roles. En este Acuerdo, "responsable" y "encargado" designan los roles de esta tabla, cualquiera que sea el nombre que use la ley de la Clínica.

1.3 Interpretación. "Incluido" significa incluido sin carácter limitativo. Los títulos no afectan al significado. La referencia a una ley incluye esa ley en su versión modificada o sustituida. "Día hábil" significa todo día que no sea sábado, domingo ni festivo en Manitoba. "Por escrito" incluye el correo electrónico y los avisos dados en el Servicio.

2. Ámbito, estructura y perfeccionamiento

2.1 Ámbito. Este Acuerdo se aplica a todo tratamiento de Datos de la Clínica por VstreamX y sus Subencargados al prestar el Servicio a la Clínica. Complementa la sección 8 de los Términos. En caso de conflicto, la cláusula 19 determina cuál prevalece.

2.2 Estados Unidos. Este Acuerdo no se aplica a una Clínica cuyo país registrado en el Servicio sea los Estados Unidos. El Business Associate Agreement de DentalX rige los Datos de la Clínica de esas Clínicas.

2.3 Anexos aplicables. Los Anexos de País e Instrumentos de Transferencia que forman parte de este Acuerdo para la Clínica son los enumerados para el país de la Clínica (y, en Canadá, su provincia) en el Índice de Anexos, según los registra el certificado de aceptación de la Copia Firmada. El anexo de otro país no se aplica a la Clínica.

2.4 Perfeccionamiento. Este Acuerdo se perfecciona cuando el firmante autorizado de la Clínica lo acepta electrónicamente en el Servicio. VstreamX lo acepta de antemano: su firma electrónica, por un directivo autorizado, figura en el certificado de aceptación. La aceptación electrónica tiene el mismo efecto que una firma manuscrita, conforme a la cláusula 25.2.

2.5 Copia Firmada. Con la aceptación, VstreamX genera un PDF con el texto completo aceptado, los campos combinados completados y un certificado de aceptación (la "Copia Firmada"). VstreamX la envía por correo electrónico al firmante y a la dirección del propietario de la Clínica, y la mantiene disponible en Configuración › Legal del Servicio mientras la Clínica tenga una cuenta, y después a solicitud.

3. Instrucciones

3.1 Instrucciones documentadas. VstreamX trata los Datos de la Clínica únicamente siguiendo las instrucciones documentadas de la Clínica (las "Instrucciones"). Las Instrucciones son:

• (a) este Acuerdo y los Términos;
• (b) la configuración y el uso del Servicio por la Clínica a través de sus Usuarios, incluidas las funciones que activa, los mensajes que envía, los pacientes que crea y las exportaciones y supresiones que realiza; y
• (c) toda otra instrucción escrita del propietario de la Clínica que sea coherente con los Términos y que VstreamX acepte por escrito.

3.2 Tratamiento exigido por la ley. VstreamX solo trata los Datos de la Clínica de otro modo cuando una ley a la que está sujeto lo exige. En tal caso, informa a la Clínica de esa exigencia legal antes del tratamiento, salvo que dicha ley lo prohíba por razones importantes de interés público.

3.3 Instrucciones ilícitas. VstreamX informa inmediatamente a la Clínica si, en su opinión, una Instrucción infringe la Legislación de Protección de Datos Aplicable. VstreamX puede suspender el tratamiento afectado hasta que la Clínica confirme o modifique la Instrucción. Al hacerlo, VstreamX no presta asesoramiento jurídico a la Clínica.

3.4 Responsabilidades de la Clínica. La Clínica es responsable de la licitud de las Instrucciones y de su tratamiento. En particular, la Clínica:

• (a) cuenta con la base legal, y con todo consentimiento que exija la ley, para los Datos de la Clínica que introduce y para el tratamiento que el Servicio realiza por su cuenta, incluido el almacenamiento en los Estados Unidos descrito en la cláusula 13;
• (b) da a sus pacientes los avisos que exige la Legislación de Protección de Datos Aplicable, incluido todo aviso de que sus datos son tratados por un proveedor de servicios y almacenados fuera del país de la Clínica;
• (c) decide durante cuánto tiempo se conservan los Datos de la Clínica, conforme a la cláusula 15; y
• (d) cumple los trámites que su ley le exige y que ningún acuerdo con VstreamX puede cumplir por ella, según los enumere el Anexo de País (por ejemplo, una evaluación de impacto en la privacidad, una inscripción o una comunicación a una autoridad).

4. Limitación de la finalidad y prohibición de uso para fines propios de VstreamX

4.1 VstreamX trata los Datos de la Clínica únicamente para prestar, proteger y dar soporte al Servicio para la Clínica, y según lo permite la cláusula 3.2.

4.2 VstreamX no realiza, y garantiza que sus Subencargados no realicen, ninguna de las siguientes actividades:

• (a) vender, alquilar o licenciar Datos de la Clínica, ni comunicarlos a nadie para los fines propios de esa persona;
• (b) usar Datos de la Clínica para publicidad, marketing, elaboración de perfiles o análisis propios;
• (c) usar Datos de la Clínica, o cualquier resultado derivado de ellos, para entrenar, ajustar, evaluar o mejorar de cualquier otro modo un modelo de inteligencia artificial, propio o de un tercero;
• (d) crear datos desidentificados, anonimizados o agregados a partir de Datos de la Clínica para su propio uso. Esto no impide el tratamiento que la propia Clínica realiza en el Servicio, como anonimizar a un paciente por instrucción de la Clínica; o
• (e) combinar Datos de la Clínica con datos personales de otras clínicas o de otras fuentes, salvo en la medida en que lo requiera el uso del Servicio por la propia Clínica.

4.3 Si VstreamX determinara los fines o los medios de un tratamiento de Datos de la Clínica en incumplimiento de este Acuerdo, sería responsable de ese tratamiento, con la responsabilidad que de ello se deriva (cláusula 17.2(c)).

4.4 Datos de funcionamiento del Servicio. VstreamX puede tratar las métricas técnicas y de uso, los informes de errores y los registros de servidor que genera el Servicio, únicamente para operar y proteger el Servicio para la Clínica y corregir sus fallos. No los usa para ningún otro fin propio, incluidos el desarrollo de productos, la analítica o la comparación con terceros. No se conservan más tiempo del que indica el Apéndice 2. VstreamX mantiene los Datos de la Clínica fuera de ellos en la medida en que sea razonablemente posible, y no los usa para identificar ni perfilar a ningún Titular.

5. Confidencialidad y secreto profesional

5.1 VstreamX mantiene la confidencialidad de los Datos de la Clínica.

5.2 VstreamX permite el acceso a los Datos de la Clínica únicamente a su personal que lo necesite para operar, proteger o dar soporte al Servicio, o para atender una solicitud de la Clínica, y solo en la medida en que lo necesite.

5.3 Toda persona de ese personal queda obligada, antes de recibir el acceso, por una obligación escrita de confidencialidad. Esa obligación es equivalente al secreto profesional que vincula a los profesionales de la salud de la Clínica. Abarca toda la información de salud y subsiste después de que la persona deje de trabajar para VstreamX.

5.4 Cada Subencargado está obligado, mediante su contrato con VstreamX, por las obligaciones de confidencialidad que el Apéndice 3 indica para él, y los Datos de la Clínica están protegidos en su poder por el cifrado descrito en el Apéndice 2. VstreamX no declara que un Subencargado esté sujeto al secreto profesional, ni a una obligación de secreto equivalente, salvo que el Apéndice 3 lo indique. VstreamX sigue siendo responsable de cada Subencargado conforme a la cláusula 7.6.

5.5 La consola administrativa de DentalX no muestra los expedientes de los pacientes al personal de soporte de VstreamX. Las personas que administran el proyecto de Google Cloud de VstreamX pueden técnicamente acceder a los datos almacenados. Solo lo hacen para mantener el Servicio en funcionamiento o seguro, a solicitud de la Clínica o cuando la ley lo exige, y cada uno de esos accesos queda registrado conforme al Apéndice 2.

5.6 Esta cláusula 5 subsiste sin límite de tiempo tras la terminación de este Acuerdo.

6. Seguridad

6.1 VstreamX implementa y mantiene las medidas técnicas y organizativas del Apéndice 2. Teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos para los Titulares, esas medidas garantizan un nivel de seguridad adecuado al riesgo, incluso para los datos de salud.

6.2 VstreamX puede actualizar las medidas. Ninguna actualización debe reducir el nivel general de protección de los Datos de la Clínica durante la vigencia. VstreamX publica los cambios significativos con el Apéndice 2 vigente.

6.3 Cifrado y custodia de claves. El Apéndice 2 indica qué Datos de la Clínica se cifran por campo, con qué algoritmo y dónde se guardan las claves. También indica contra qué protege ese cifrado y contra qué no. VstreamX no presenta el cifrado como protección frente al acceso de su proveedor de alojamiento, salvo que las claves estén fuera del control de dicho proveedor.

6.4 Autenticación multifactor. VstreamX pone la autenticación multifactor a disposición de todos los Usuarios. Cuando un Anexo de País o la Legislación de Protección de Datos Aplicable lo exija, VstreamX la hace obligatoria para los Usuarios de esa Clínica.

6.5 La parte de la seguridad que corresponde a la Clínica. La Clínica es responsable de:

• (a) la seguridad de sus propios dispositivos y redes;
• (b) asignar a cada Usuario el rol mínimo que necesite, y retirar el acceso con prontitud cuando deba terminar;
• (c) exigir la autenticación multifactor cuando su ley o su riesgo lo requiera;
• (d) la confidencialidad de las credenciales de sus Usuarios; y
• (e) la seguridad de toda cuenta propia que conecte al Servicio (por ejemplo, su propio Google Calendar o su propia cuenta de WhatsApp Business), que no es un Subencargado.

7. Subencargados

7.1 Autorización general. La Clínica otorga a VstreamX una autorización general por escrito para recurrir a Subencargados. La Clínica autoriza específicamente a los Subencargados enumerados en el Apéndice 3 a la fecha de entrada en vigor.

7.2 Traslado contractual de obligaciones. VstreamX contrata a cada Subencargado únicamente mediante un contrato escrito que le impone las mismas obligaciones de protección de datos que este Acuerdo impone a VstreamX, en lo que se refiere al tratamiento que realiza el Subencargado. Como mínimo, ese contrato obliga al Subencargado en cada una de las materias del artículo 28.3, letras a) a h), del RGPD: instrucciones, confidencialidad, seguridad, condiciones para recurrir a otros subencargados, asistencia con las solicitudes de los titulares y con la seguridad, las violaciones y las evaluaciones, supresión o devolución al término, e información y auditoría. Para Brasil, ese contrato también obliga al Subencargado a las garantías de las Cláusulas Contractuales Tipo de la ANPD, como exige el TM-BR. El Apéndice 3 indica, para cada Subencargado, las condiciones contractuales que lo hacen. VstreamX no dirige los datos de una Clínica a un Subencargado cuyo contrato no cumpla esta cláusula. [[TO CONFIRM: correspondencia del Data Processing Addendum de Google Cloud, de las condiciones de tratamiento de Google Workspace y de las condiciones de tratamiento de WhatsApp Business de Meta con el artículo 28.3, letras a) a h), del RGPD y con las cláusulas de la ANPD, registrada en el Apéndice 3]]

7.3 Aviso de cambios. VstreamX publica todo Subencargado nuevo o sustituto que vaya a tratar Datos de la Clínica en la página de subencargados de DentalX al menos 30 días antes de que comience a tratarlos. También lo notifica al propietario de la Clínica por correo electrónico y en el Servicio. El aviso indica el nombre del Subencargado, su servicio, su ubicación y el mecanismo de transferencia.

7.4 Oposición. La Clínica puede oponerse al cambio por motivos razonables relacionados con la protección de datos, por escrito, antes de que el cambio surta efecto. Las Partes examinarán la oposición de buena fe. Si no logran resolverla, la Clínica puede terminar el Servicio afectado antes de que el cambio surta efecto. En tal caso conserva su derecho a exportar sus datos conforme a la cláusula 14, y VstreamX reembolsa las tarifas pagadas por adelantado por el período posterior a la terminación.

7.5 Consentimiento expreso cuando la ley lo exija. Cuando un Anexo de País o un Instrumento de Transferencia exija el consentimiento previo, específico o escrito de la Clínica para un nuevo Subencargado, VstreamX solicita ese consentimiento en el Servicio antes de dirigir los datos de la Clínica al nuevo Subencargado. Si la Clínica no consiente, VstreamX no dirige sus datos a él. Si eso no es técnicamente posible, VstreamX ofrece a la Clínica, antes de que el cambio surta efecto, la terminación con exportación y el reembolso de la cláusula 7.4.

7.6 Responsabilidad por los Subencargados. VstreamX sigue siendo plenamente responsable ante la Clínica del cumplimiento de las obligaciones de cada Subencargado, como si fueran propias.

7.7 Suspensión de emergencia. Si el tratamiento de un Subencargado pone en riesgo la seguridad de los Datos de la Clínica, VstreamX puede suspender de inmediato el envío de Datos de la Clínica a ese Subencargado, y lo notifica a la Clínica lo antes posible. La suspensión no añade ningún nuevo destinatario de los Datos de la Clínica. Todo Subencargado nuevo o sustituto se contrata únicamente conforme a la cláusula 7.3, o a la cláusula 7.5 cuando se aplique, con el preaviso completo y el derecho de oposición o de consentimiento que esas cláusulas otorgan.

8. Asistencia con las solicitudes de los Titulares

8.1 Autoservicio. El Servicio permite al propietario y a los gerentes de la Clínica exportar, rectificar, suprimir y anonimizar el expediente de un paciente, y exportar todos los datos de la Clínica, en formatos estructurados, de uso común y de lectura mecánica. La mayoría de las solicitudes de los Titulares pueden, por tanto, ser atendidas por la Clínica sin VstreamX.

8.2 Asistencia adicional. Cuando la Clínica necesite información o una actuación que solo VstreamX puede proporcionar para atender una solicitud de un Titular (acceso, rectificación, supresión, limitación o bloqueo, portabilidad, oposición, revocación del consentimiento, o cualquier derecho equivalente conforme a la Legislación de Protección de Datos Aplicable, incluidos los derechos ARCO y de habeas data y los derechos del artículo 18 de la LGPD de Brasil), VstreamX la proporciona dentro de los 5 días hábiles siguientes a la solicitud escrita de la Clínica, o antes si el Anexo de País lo exige.

8.3 Solicitudes recibidas por VstreamX. Si VstreamX recibe directamente de un Titular una solicitud sobre Datos de la Clínica, la remite a la Clínica dentro de los 2 días hábiles siguientes y no la responde, salvo para confirmar que fue remitida o cuando la ley exija a VstreamX responder.

8.4 La asistencia prevista en esta cláusula se presta sin cargo adicional.

9. Violaciones de Seguridad de los Datos Personales

9.1 Notificación a la Clínica. VstreamX notifica a la Clínica toda Violación de Seguridad de los Datos Personales que afecte a Datos de la Clínica sin dilación indebida después de tener conocimiento de ella. En todo caso, VstreamX da una notificación inicial dentro de las 24 horas siguientes a haber establecido, con un grado razonable de certeza, que se ha producido una Violación de Seguridad de los Datos Personales y que afecta a Datos de la Clínica. Cuando un Anexo de País fije un plazo más breve o un momento de inicio anterior, se aplica ese Anexo.

9.2 Contenido. La notificación describe, en la medida en que se conozca en ese momento:

• (a) la naturaleza de la violación, incluidas, cuando sea posible, las categorías y el número aproximado de Titulares y de registros afectados;
• (b) el nombre y los datos de contacto del punto de contacto de VstreamX en el que puede obtenerse más información;
• (c) las consecuencias probables de la violación; y
• (d) las medidas adoptadas o propuestas para poner remedio a la violación y mitigar sus posibles efectos negativos.

Cuando no sea posible facilitar la información simultáneamente, VstreamX la facilita de manera gradual, sin más dilación indebida, a medida que esté disponible.

9.3 Asistencia. VstreamX:

• (a) adopta medidas razonables para contener, investigar y remediar la violación;
• (b) asiste a la Clínica en la notificación a las Autoridades de Control y a los Titulares cuando la Clínica deba hacerla, incluso proporcionando la información que posee y, a solicitud de la Clínica, un borrador de las secciones de hechos de esas notificaciones; y
• (c) no notifica la violación a los pacientes de la Clínica ni a la Autoridad de Control de la Clínica por cuenta de esta sin instrucción de la Clínica, salvo que la ley exija a VstreamX hacerlo.

9.4 Deberes propios de VstreamX. Nada en esta cláusula limita un deber que la ley imponga a la propia VstreamX, como sus deberes como organización conforme a PIPEDA, o el deber propio de reporte de un encargado conforme a la Legislación de Protección de Datos Aplicable. Cuando VstreamX deba reportar en nombre propio, lo comunica antes a la Clínica, cuando la ley lo permita.

9.5 Registro. VstreamX lleva un registro de toda Violación de Seguridad de los Datos Personales que afecte a Datos de la Clínica: los hechos, sus efectos y las medidas correctivas adoptadas. Conserva cada entrada durante al menos 24 meses, o más si la ley lo exige. A solicitud, entrega a la Clínica las entradas que le conciernen.

9.6 Destinatarios. Las notificaciones previstas en esta cláusula se envían a la dirección de correo electrónico del propietario de la Clínica y al contacto de privacidad que la Clínica registre en el Servicio, y aparecen en el Servicio. Un Anexo de País puede exigir una dirección adicional.

9.7 Sin reconocimiento. La notificación prevista en esta cláusula no constituye reconocimiento de culpa ni de responsabilidad.

10. Evaluaciones de impacto y consulta previa

10.1 VstreamX presta a la Clínica asistencia razonable en toda evaluación de impacto relativa a la protección de datos, evaluación de impacto en la privacidad o evaluación de impacto de transferencias, y en toda consulta previa a una Autoridad de Control, que la Legislación de Protección de Datos Aplicable exija a la Clínica para el tratamiento previsto en este Acuerdo. La obligación se limita a la información que VstreamX posee.

10.2 VstreamX pone a disposición en el Servicio, sin cargo, un paquete de evaluación que contiene:

• (a) una descripción del tratamiento y de los flujos de datos;
• (b) los Apéndices 1 a 3;
• (c) un resumen de la evaluación de impacto de transferencias de VstreamX respecto de las transferencias de la cláusula 13; y
• (d) para las provincias y los países que la exigen, una plantilla precompletada en el formato que usa la autoridad local.

11. Registros y apoyo a inscripciones

11.1 VstreamX lleva un registro de las categorías de tratamiento que realiza por cuenta de la Clínica, con el contenido que exigen el artículo 30.2 del RGPD, el artículo 37 de la LGPD de Brasil y toda Legislación de Protección de Datos Aplicable equivalente. VstreamX lo pone a disposición de una Autoridad de Control que lo solicite.

11.2 Cuando la Clínica deba inscribir una base de datos o un fichero, o describir a sus encargados o sus transferencias ante una autoridad, VstreamX proporciona a solicitud la información sobre VstreamX y sus Subencargados que exige la inscripción: identidad, ubicación, tratamiento, transferencias y seguridad.

12. Auditorías e información de cumplimiento

12.1 Información. VstreamX pone a disposición de la Clínica toda la información necesaria para demostrar el cumplimiento de este Acuerdo. Lo hace en primer lugar mediante:

• (a) los Apéndices 1 a 3 y el paquete de evaluación;
• (b) respuestas escritas a los cuestionarios razonables de seguridad y privacidad de la Clínica, una vez al año o tras una Violación de Seguridad de los Datos Personales; y
• (c) resúmenes de las certificaciones independientes y de los informes de auditoría de su Subencargado de alojamiento, y copias cuando las condiciones de ese Subencargado lo permitan.

12.2 Auditorías. Cuando esa información no baste para demostrar el cumplimiento, o cuando una Autoridad de Control lo exija, VstreamX permite y contribuye a las auditorías, incluidas las inspecciones, realizadas por la Clínica o por un auditor independiente que la Clínica designe, en las siguientes condiciones:

• (a) Preaviso: al menos 30 días de preaviso por escrito, salvo tras una Violación de Seguridad de los Datos Personales o a solicitud de una Autoridad de Control.
• (b) Frecuencia: no más de una vez en cualquier período de 12 meses, salvo tras una Violación de Seguridad de los Datos Personales o a solicitud de una Autoridad de Control.
• (c) Desarrollo: en horario laboral y sin comprometer la seguridad del Servicio ni la confidencialidad de los datos de otras clínicas. El auditor está sujeto a confidencialidad y no es competidor de VstreamX.
• (d) Subencargados: la auditoría de un Subencargado se realiza mediante los derechos de auditoría y los informes que el Subencargado pone a disposición de VstreamX.
• (e) Costes: cada Parte soporta sus propios costes. Si la auditoría revela un incumplimiento sustancial de este Acuerdo por parte de VstreamX, VstreamX soporta los costes razonables de la auditoría.

12.3 Autoridades. VstreamX coopera con toda Autoridad de Control competente respecto de la Clínica en el ejercicio de sus funciones, y se somete a la auditoría de esa autoridad cuando la Legislación de Protección de Datos Aplicable lo exija.

12.4 Subsanación. VstreamX subsana con prontitud todo incumplimiento de este Acuerdo que revele una auditoría, e informa a la Clínica de lo que ha hecho.

13. Transferencias internacionales

13.1 Dónde se tratan los Datos de la Clínica. A la fecha de entrada en vigor:

• la base de datos se almacena en la multirregión de Estados Unidos de Google Cloud;
• los archivos, las funciones de servidor y las copias de seguridad están en la región us-central1 de Google Cloud (Iowa, Estados Unidos);
• las solicitudes a las funciones de IA las trata Google Vertex AI en la región de Google Cloud indicada en la fila 2 del Apéndice 3;
• el correo electrónico lo trata Google conforme a las condiciones de Google Workspace indicadas en la fila 3 del Apéndice 3, y los mensajes de WhatsApp los trata Meta, en los países que indica el Apéndice 3; y
• el personal de VstreamX accede al Servicio desde Canadá.

El Apéndice 3 indica la ubicación de cada Subencargado.

13.2 Instrucción de transferir. Al aceptar este Acuerdo, la Clínica instruye a VstreamX para transferir los Datos de la Clínica a las ubicaciones de la cláusula 13.1 y del Apéndice 3, y tratarlos en ellas.

13.3 Mecanismo de transferencia. Cada transferencia de Datos de la Clínica que la Legislación de Protección de Datos Aplicable restrinja se realiza conforme al mecanismo que prevé el Anexo de País o el Instrumento de Transferencia de la Clínica. Para Quebec, la comunicación fuera de Quebec se realiza conforme al ANX-CA-QC. VstreamX garantiza que cada transferencia ulterior a un Subencargado se realice conforme a un mecanismo reconocido por la ley de la Clínica, y lo registra en el Apéndice 3.

13.4 Cambio de mecanismo. Si un mecanismo de transferencia es invalidado, suspendido o deja de cubrir una transferencia, VstreamX, con prontitud:

• lo comunica a la Clínica;
• implementa un mecanismo alternativo reconocido por la ley de la Clínica, que puede ser un Instrumento de Transferencia que ya forme parte de este Acuerdo; y
• si no hay alternativa disponible en un plazo razonable, ofrece a la Clínica la terminación con exportación y el reembolso de la cláusula 7.4.

13.5 Impacto de las transferencias. VstreamX mantiene una evaluación de impacto de las transferencias que analiza las leyes de los Estados Unidos aplicables a sus Subencargados y a los Datos de la Clínica, y las medidas complementarias del Apéndice 2. Entrega a la Clínica un resumen como parte del paquete de evaluación, y la actualiza cuando se produce un cambio significativo.

14. Devolución y supresión

Esta cláusula reproduce y desarrolla las secciones 8.11 y 13 de los Términos. Cuando un Anexo de País disponga otra cosa, se aplica ese Anexo.

14.1 Exportación en cualquier momento. El propietario y los gerentes de la Clínica pueden exportar los datos de la Clínica en cualquier momento, incluso después de una cancelación y durante una suspensión. La exportación contiene los registros de pacientes, clínicos, financieros y de mensajería, la configuración y las plantillas, y una lista de los archivos almacenados (radiografías, fotografías, documentos y consentimientos firmados). Cada archivo puede abrirse y descargarse desde el Servicio hasta que se supriman los datos de la Clínica, salvo mientras la Clínica esté suspendida. El archivo de exportación que crea la Clínica se elimina de los servidores de VstreamX siete días después de su creación.

14.2 Después de que termina la suscripción.

• (a) Durante los 60 días siguientes a la terminación de la suscripción, VstreamX conserva todos los Datos de la Clínica y la Clínica puede exportarlos.
• (b) Transcurridos esos 60 días, VstreamX prepara una exportación completa de los datos de la Clínica y la pone a disposición del propietario de la Clínica.
• (c) Cuando han transcurrido 90 días desde la terminación de la suscripción sin una nueva, VstreamX suprime los Datos de Pacientes de la Clínica dentro de los 30 días siguientes.
• (d) VstreamX comunica al propietario de la Clínica por correo electrónico, con al menos 30 días de antelación, la fecha en que se realizará la supresión.
• (e) La supresión de los datos de la Clínica también elimina la exportación completa, por lo que la Clínica debe descargarla antes de esa fecha.

14.3 Supresión por instrucción. Cuando el propietario de la Clínica instruye por escrito a VstreamX que suprima los Datos de Pacientes de la Clínica, VstreamX pone a disposición la exportación completa y suprime los datos 30 días después de recibir la instrucción, salvo que esta indique una fecha posterior.

14.4 Devolución en lugar de supresión. A elección de la Clínica, la exportación completa prevista en las cláusulas 14.2(b) o 14.3 constituye la devolución de los Datos de la Clínica. VstreamX no conserva ninguna copia tras la supresión, salvo lo que permite la cláusula 14.5.

14.5 Lo que subsiste tras la supresión.

• (a) Copias de seguridad. Los datos suprimidos permanecen en las copias de seguridad de la base de datos de VstreamX hasta que caducan, dentro de los siete días siguientes a la supresión. Hasta entonces, las copias siguen sujetas a las protecciones de este Acuerdo y solo se usan para recuperarse de una falla.
• (b) Historial de versiones de archivos. Las versiones anteriores de los archivos suprimidos se eliminan del historial de versiones del servicio de almacenamiento como parte de la supresión, en la fecha de supresión. [[TO CONFIRM: la eliminación automática de las versiones no actuales en la fecha de supresión está en funcionamiento; hasta entonces, VstreamX las elimina manualmente en cada supresión, y esta frase debe ser cierta antes de la publicación]]
• (c) Registro de auditoría. El registro de auditoría de la Clínica forma parte de los Datos de la Clínica. Se incluye en la exportación completa, de modo que la Clínica lo conserva como registro propio. En la fecha de supresión, VstreamX suprime su copia, o conserva únicamente recuentos agregados que no permiten identificar a ningún paciente, Usuario ni otra persona. [[TO CONFIRM: implementación en el producto de la supresión o anonimización del registro de auditoría en la fecha de supresión]]
• (d) Registros de baja de WhatsApp. Cuando un paciente respondió STOP o START a mensajes enviados por cuenta de la Clínica desde el número compartido de WhatsApp de DentalX, esa elección forma parte de los Datos de la Clínica. Se respeta mientras la Clínica usa el Servicio y se suprime con los demás Datos de la Clínica en la fecha de supresión. Nunca se usa para otra clínica ni para otro fin. [[TO CONFIRM: implementación en el producto de una lista de exclusión por clínica, suprimida en la fecha de supresión]]
• (e) Datos que la ley obliga a VstreamX a conservar. VstreamX conserva Datos de la Clínica después de la fecha de supresión únicamente cuando una ley le obliga a conservarlos, solo durante el tiempo que esa ley exige, y los protege conforme a este Acuerdo hasta su supresión. Para una Clínica del EEE, esa ley debe ser el Derecho de la Unión o de un Estado miembro; para una Clínica del Reino Unido, el Derecho del Reino Unido; para una Clínica de Quebec, no se conserva nada en virtud de este apartado. Los registros contractuales propios de VstreamX (el registro de aceptación y la Copia Firmada) no son Datos de la Clínica y se conservan como indican la cláusula 2.5 y la Política de Privacidad.

14.6 Conservación exigida a la Clínica. Los Datos de la Clínica que la ley obliga a la Clínica a conservar (por ejemplo, las historias clínicas) se devuelven a la Clínica mediante la exportación. VstreamX no los conserva por cuenta de la Clínica después de la fecha de supresión, salvo que las Partes acuerden por escrito un servicio de archivo separado.

14.7 Certificado. A solicitud, VstreamX confirma por escrito a la Clínica la supresión, indicando qué se suprimió, cuándo y qué subsiste conforme a la cláusula 14.5.

15. Conservación mientras la cuenta está activa

15.1 La Clínica decide durante cuánto tiempo se conservan los Datos de la Clínica, y es responsable de conservar los registros durante el tiempo que exigen su ley y sus normas profesionales.

15.2 Mientras la cuenta de la Clínica está activa, DentalX no suprime historias clínicas de forma programada. Cuando DentalX ofrece plazos de conservación predeterminados por país, son valores que la Clínica puede modificar dentro de los límites de su ley. Cuando DentalX bloquea la supresión antes de un plazo mínimo legal, la Clínica solo puede levantar el bloqueo confirmando que la ley permite la supresión en ese caso.

16. Requerimientos de autoridades públicas

16.1 Si VstreamX recibe un requerimiento u orden de una autoridad pública, incluido un tribunal o una autoridad policial o de seguridad nacional, para la comunicación de Datos de la Clínica, VstreamX:

• (a) remite a la autoridad a la Clínica cuando sea posible;
• (b) notifica con prontitud a la Clínica, con copia del requerimiento, salvo que la ley prohíba la notificación. Si la notificación está prohibida, VstreamX hace esfuerzos razonables para obtener una dispensa de la prohibición;
• (c) evalúa la legalidad del requerimiento y lo impugna cuando, tras una evaluación cuidadosa, concluya que hay motivos razonables para considerarlo ilícito o excesivo; y
• (d) comunica la cantidad mínima de Datos de la Clínica admisible al responder.

16.2 VstreamX lleva un registro de esos requerimientos y, cuando la ley lo permita, entrega a la Clínica información agregada sobre ellos al menos una vez al año, a solicitud.

16.3 VstreamX no comunica voluntariamente Datos de la Clínica a ninguna autoridad pública.

17. Responsabilidad

17.1 Aplicación de los Términos. La responsabilidad de cada Parte derivada de este Acuerdo o relacionada con él está sujeta a las exclusiones y a la limitación de la sección 18 de los Términos. Esa limitación es un límite conjunto para los Términos y este Acuerdo.

17.2 Lo que la limitación no limita. Además de lo enumerado en la sección 18.3 de los Términos, nada en los Términos ni en este Acuerdo limita ni excluye:

• (a) los derechos de los Titulares como terceros beneficiarios conforme a un Instrumento de Transferencia, ni la responsabilidad de una Parte frente a los Titulares conforme a él;
• (b) toda responsabilidad que la ley aplicable a la Clínica no permita limitar ni excluir, incluida la responsabilidad solidaria frente a los Titulares que imponga la Legislación de Protección de Datos Aplicable; ni
• (c) la responsabilidad de VstreamX por tratar Datos de la Clínica al margen de las Instrucciones o en contra de ellas, o para sus propios fines en incumplimiento de la cláusula 4.

17.3 Multas. Cada Parte soporta las multas administrativas que le imponga una Autoridad de Control. Nada en este Acuerdo traslada a una Parte una multa impuesta a la otra, salvo cuando la ley permita su repetición y en la medida en que la otra Parte la haya causado.

17.4 Indemnidades. Las indemnidades de la sección 19 de los Términos se aplican a este Acuerdo.

18. Modificaciones de este Acuerdo

18.1 Versiones. Cada documento de este Acuerdo lleva su propio número de versión con el formato MAYOR.MENOR.

18.2 Cambios menores. VstreamX puede introducir un cambio MENOR, es decir, una aclaración, una corrección o una actualización de datos de contacto que no reduzca los derechos de la Clínica ni aumente sus obligaciones. Surte efecto al publicarse. VstreamX registra cada cambio MENOR y lo muestra en el Servicio.

18.3 Cambios mayores. Un cambio MAYOR es cualquier otro cambio, incluidos los relativos al ámbito, la responsabilidad, las transferencias o los derechos sobre Subencargados, o una nueva obligación para el país de la Clínica.

• (a) VstreamX notifica al propietario de la Clínica por correo electrónico y en el Servicio al menos 30 días antes de que un cambio MAYOR surta efecto, salvo que la ley exija que surta efecto antes.
• (b) La Clínica lo acepta en el Servicio.
• (c) Si la Clínica no lo acepta antes de la fecha de efecto, su acceso a las funciones que tratan Datos de Pacientes queda restringido hasta que lo haga. La exportación de la cláusula 14.1 sigue disponible en todo momento.
• (d) Si la Clínica no acepta un cambio MAYOR, puede terminar conforme a la cláusula 7.4 con el mismo reembolso.

18.4 Cambio legislativo. Si un cambio en la Legislación de Protección de Datos Aplicable, o una decisión de una Autoridad de Control, exige condiciones adicionales o diferentes, las Partes las adoptarán como modificación o como nuevo Anexo de País conforme a la cláusula 18.3. VstreamX también puede sustituir un Instrumento de Transferencia por una versión más reciente adoptada por la autoridad competente.

18.5 Independencia de los anexos. Un Anexo de País o un Instrumento de Transferencia puede modificarse sin volver a aceptar este Acuerdo Marco, y este Acuerdo Marco sin volver a aceptar un anexo. El registro de aceptación identifica la versión de cada documento vigente para la Clínica.

19. Prelación

19.1 En caso de conflicto entre documentos, se aplica el siguiente orden de prelación, de mayor a menor:

1. las disposiciones imperativas de la Legislación de Protección de Datos Aplicable;
2. los Instrumentos de Transferencia, que ninguna otra condición de este Acuerdo ni de los Términos puede excluir, modificar ni contradecir;
3. el Anexo de País;
4. este Acuerdo Marco y sus Apéndices; y
5. los Términos.

19.2 Nada en este Acuerdo ni en los Términos debe interpretarse en el sentido de limitar o derogar un Instrumento de Transferencia, ni de perjudicar los derechos o libertades fundamentales de los Titulares conforme a él.

20. Vigencia y terminación

20.1 Este Acuerdo comienza cuando se perfecciona conforme a la cláusula 2.4. Continúa mientras VstreamX trate Datos de la Clínica por cuenta de la Clínica, incluso durante los períodos de la cláusula 14.

20.2 Termina automáticamente cuando VstreamX ha suprimido los Datos de la Clínica conforme a la cláusula 14, salvo los datos que la cláusula 14.5 le permite conservar.

20.3 Las cláusulas 5, 14, 16, 17, 19, 23 y 24, y toda otra cláusula que por su naturaleza deba subsistir, subsisten tras la terminación de este Acuerdo. Este Acuerdo sigue aplicándose a todo Dato de la Clínica que VstreamX conserve conforme a la cláusula 14.5.

20.4 La terminación de los Términos es una terminación del Servicio a efectos de la cláusula 14.

21. Facultades para obligar y custodios

21.1 La persona que acepta este Acuerdo en nombre de la Clínica declara y garantiza que es la propietaria de la Clínica, su representante legal o una persona con facultades reales para obligarla.

21.2 Cuando la Legislación de Protección de Datos Aplicable atribuye a profesionales individuales la condición de custodios o fiduciarios de la información de salud (como en varias provincias canadienses), esa persona declara además que acepta este Acuerdo en nombre de cada custodio o fiduciario enumerado en el certificado de aceptación, con su autorización. Alternativamente, cada custodio lo acepta individualmente.

21.3 El custodio o fiduciario que se incorpore posteriormente a la Clínica debe aceptar este Acuerdo, o ser incorporado conforme a la cláusula 21.2, antes de crear expedientes de pacientes en el Servicio.

21.4 VstreamX puede confiar en estas declaraciones. La Clínica responde ante VstreamX si no son ciertas.

22. Idiomas

22.1 Este Acuerdo se redacta en inglés. VstreamX también lo publica en español, portugués y francés.

22.2 El idioma que prevalece es:

• el español para las Clínicas de México, Colombia, Perú, Chile, Argentina, Ecuador, Guatemala, Costa Rica, Panamá, República Dominicana y España;
• el portugués para las Clínicas de Brasil;
• el francés para las Clínicas de Quebec, salvo que la Clínica haya elegido expresamente, después de habérsele entregado la versión francesa, quedar vinculada por la versión inglesa; y
• el inglés para todas las demás Clínicas.

22.3 Las traducciones de los Instrumentos de Transferencia se rigen por las reglas de idioma del propio Instrumento de Transferencia.

22.4 La versión francesa de este Acuerdo, sus Apéndices y el ANX-CA-QC se proporciona sin cargo.

23. Ley aplicable y controversias

23.1 Este Acuerdo Marco se rige por la ley que rige los Términos (las leyes de la Provincia de Manitoba y las leyes federales de Canadá aplicables en ella), y las controversias sobre él se someten a los tribunales que designan los Términos, con las siguientes excepciones:

• (a) cada Instrumento de Transferencia se rige por la ley que designa, y las controversias que de él surjan se someten a los tribunales que designa;
• (b) el Anexo de País que designe una ley aplicable o un foro para las materias de protección de datos prevalece respecto de esas materias;
• (c) las disposiciones imperativas de la Legislación de Protección de Datos Aplicable se aplican cualquiera que sea la ley que rija este Acuerdo, incluidos, para una Clínica de Quebec, la Ley sobre el sector privado y los artículos 1435 a 1437 del Código Civil de Quebec; y
• (d) nada en esta cláusula priva a un Titular del derecho de acudir a la Autoridad de Control o a los tribunales del lugar donde reside, ni de cualquier otro derecho que le confiera la Legislación de Protección de Datos Aplicable.

24. Contactos y notificaciones

24.1 Contacto de privacidad de VstreamX. Privacidad y protección de datos, VstreamX Studio Inc., Office B – 1043 Rosser Ave, Brandon, Manitoba R7A 0L5, Canadá · admin@vstreamx.com. La persona responsable del cumplimiento de VstreamX es Ricardo Javier Sandoval Sandoval, Director Financiero (Chief Financial Officer). [[TO CONFIRM: si se designará en la publicación una dirección privacy@ dedicada y una oficina de privacidad externa (DPO UE / encarregado Brasil / Oficial Panamá / Oficial Perú)]]

24.2 Representantes.

• Representante de VstreamX en la Unión Europea conforme al artículo 27 del RGPD: [[TO CONFIRM: nombre y dirección del representante en la UE del art. 27]].
• Representante de VstreamX en el Reino Unido conforme al artículo 27 del UK GDPR: [[TO CONFIRM: nombre y dirección del representante en el Reino Unido del art. 27]].

24.3 Contactos de la Clínica. La Clínica registra en el Servicio su contacto de privacidad (oficial de privacidad, delegado de protección de datos, encarregado o equivalente) y lo mantiene actualizado. Mientras no lo haga, las notificaciones se dirigen al propietario de la Clínica.

24.4 Notificaciones. Las notificaciones previstas en este Acuerdo se dan según lo dispuesto en la sección 22 de los Términos, y también en el Servicio.

25. Disposiciones generales

25.1 Acuerdo íntegro. Este Acuerdo y los Términos constituyen el acuerdo íntegro entre las Partes sobre el tratamiento de los Datos de la Clínica. Sustituyen toda declaración anterior de los Términos según la cual la sección 8 de los Términos sirve como acuerdo escrito de tratamiento o de gestión de información para la Clínica.

25.2 Aceptación electrónica. Las Partes acuerdan que este Acuerdo puede aceptarse y firmarse por medios electrónicos (incluso, para Quebec, conforme a la Ley que establece el marco jurídico de las tecnologías de la información, RLRQ c. C-1.1, y, para Brasil, conforme al artículo 10, § 2, de la Medida Provisoria 2.200-2/2001), y que el registro electrónico de aceptación y la Copia Firmada constituyen un escrito firmado por cada Parte.

25.3 Divisibilidad. Si una disposición se declara inválida o inaplicable, el resto de este Acuerdo sigue en vigor. La disposición se aplica en la mayor medida permitida, del modo que mejor logre la protección de los Datos de la Clínica.

25.4 Sin renuncia. El no ejercicio o el retraso en el ejercicio de un derecho no constituye renuncia a él.

25.5 Cesión. Ninguna Parte puede ceder este Acuerdo salvo junto con los Términos y en los casos que estos permiten.

25.6 Derechos de terceros. Los Titulares tienen los derechos que un Instrumento de Transferencia o la Legislación de Protección de Datos Aplicable les confieren expresamente. Fuera de ello, nadie distinto de las Partes tiene derechos conforme a este Acuerdo.