Contrato de encargo del tratamiento

Versión 2026-11-borrador. Contrato entre el fisioterapeuta que usa FisioPauta y el titular del servicio, exigido por el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Se acepta al crear la cuenta o, si la versión cambia, la próxima vez que se entra en el panel; el panel guarda la fecha y la versión aceptadas.

De dónde sale este texto. Sigue la estructura y el contenido de las cláusulas contractuales tipo entre responsables y encargados del tratamiento de la Comisión Europea (Decisión de Ejecución (UE) 2021/915, de 4 de junio de 2021), con su numeración, adaptadas a este servicio: se han elegido las opciones que el modelo deja abiertas, se han rellenado los anexos y se ha simplificado la redacción. No es una copia literal del modelo. Si algo de este contrato contradijera el RGPD, prevalece el RGPD.

En resumen

• Tú (el fisioterapeuta o tu clínica) eres el responsable de los datos de tus pacientes: decides para qué se usan y custodias su historia clínica.
• FisioPauta es tu encargado: guarda y procesa esos datos solo para darte el servicio y siguiendo tus instrucciones. No los vende, no los cede y no los usa para nada propio, tampoco para entrenar modelos de IA.
• Los datos están en un servidor propio del titular en España. El asistente de IA funciona en ese mismo servidor, sin enviar datos a empresas de IA.
• Si hay una brecha de seguridad, te avisamos en un máximo de 48 horas desde que la conozcamos, con lo que necesitas para notificarla.

Sección I

Cláusula 1. Objeto y ámbito de aplicación

a) Este contrato garantiza que el tratamiento de datos personales que el Encargado hace por cuenta del Responsable cumple el artículo 28, apartados 3 y 4, del RGPD.

b) Responsable del tratamiento («el Responsable»): el fisioterapeuta titular de la cuenta en FisioPauta o, si actúa en nombre de una clínica, esa clínica. Encargado del tratamiento («el Encargado»): Tecnofun Digital S.L, NIF B85000354, con domicilio en Camino Perales 35, 28232 Las Rozas de Madrid, titular de FisioPauta. Sus datos completos están en el Anexo I.

c) Se aplica al tratamiento descrito en el Anexo II.

d) Los Anexos I a IV forman parte del contrato.

e) Este contrato no afecta a las obligaciones que el RGPD impone directamente al Responsable o al Encargado.

Cláusula 2. Invariabilidad

Las partes no modificarán el contrato salvo para completar o actualizar los anexos. El Encargado puede publicar versiones nuevas (por ejemplo, para cambiar un subencargado o una medida de seguridad); cada versión lleva fecha y el panel pide al Responsable que la acepte antes de seguir usándolo. Las partes pueden añadir otras cláusulas siempre que no contradigan este contrato ni reduzcan la protección de los pacientes.

Cláusula 3. Interpretación

Los términos que define el RGPD («dato personal», «tratamiento», «violación de la seguridad», etc.) tienen el significado que les da el RGPD. El contrato se interpreta conforme al RGPD y no de forma que limite los derechos u obligaciones que este establece.

Cláusula 4. Jerarquía

Si este contrato contradice los términos de uso o cualquier otro acuerdo entre las partes, en lo relativo a la protección de datos prevalece este contrato.

Cláusula 5. Incorporación de otras partes

No se usa: cada contrato es entre un Responsable y el Encargado. Si el Responsable es una clínica con varios profesionales, la clínica acepta el contrato por todos ellos.

Sección II. Obligaciones de las partes

Cláusula 6. Descripción del tratamiento

Los detalles del tratamiento (finalidad, datos, personas afectadas y duración) están en el Anexo II.

Cláusula 7. Obligaciones de las partes

7.1 Instrucciones. a) El Encargado solo trata los datos siguiendo las instrucciones documentadas del Responsable, salvo que el Derecho de la Unión o de España le obligue a otra cosa; en ese caso le informará antes, salvo que la ley lo prohíba. Son instrucciones documentadas este contrato y lo que el Responsable hace al usar el servicio (crear o archivar un paciente, asignar un programa, exportar o suprimir datos, activar el asistente de IA, etc.). El Responsable puede dar instrucciones nuevas por escrito al correo [email protected]. b) Si el Encargado cree que una instrucción infringe el RGPD u otra norma de protección de datos, se lo dirá enseguida al Responsable.

7.2 Limitación de la finalidad. El Encargado solo trata los datos para lo descrito en el Anexo II. No los usa para fines propios, no los vende, no los cede a terceros, no hace publicidad con ellos y no los usa para entrenar ni mejorar modelos de inteligencia artificial.

7.3 Duración. El tratamiento dura lo indicado en el Anexo II.

7.4 Seguridad del tratamiento. a) El Encargado aplica, como mínimo, las medidas técnicas y organizativas del Anexo III para garantizar la seguridad de los datos y protegerlos frente a accesos, pérdidas, alteraciones o comunicaciones no autorizadas o accidentales. Para elegirlas ha tenido en cuenta el estado de la técnica, el coste, la naturaleza de los datos (de salud) y los riesgos para los pacientes. Puede actualizarlas siempre que no bajen el nivel de seguridad. b) Solo acceden a los datos las personas que lo necesitan para prestar, mantener o dar soporte al servicio, y todas se han comprometido por escrito a la confidencialidad o tienen una obligación legal de confidencialidad. Hoy, la única persona con acceso técnico es el propio titular. El Encargado no consulta los datos clínicos de los pacientes salvo para resolver una incidencia que pida el Responsable o para atender una brecha de seguridad.

7.5 Datos sensibles. Los datos de los pacientes incluyen datos de salud (artículo 9 del RGPD). Por eso, además de lo anterior, se aplican las garantías específicas del Anexo II (apartado «Datos de salud»).

7.6 Documentación y cumplimiento. a) Las partes deben poder demostrar que cumplen este contrato. b) El Encargado atiende sin demora las consultas del Responsable sobre el tratamiento. c) El Encargado pone a disposición del Responsable la información necesaria para demostrar que cumple este contrato y el RGPD (este contrato, el registro de actividades, la descripción de las medidas de seguridad y, si existen, informes de auditoría). d) El Responsable puede pedir una auditoría razonable, con un preaviso de al menos 30 días, a su cargo, no más de una vez al año salvo que haya habido una brecha, y respetando la confidencialidad de los datos de otros clientes; en primer lugar se intentará resolver con la documentación anterior. e) Ambas partes pondrán esta información a disposición de la autoridad de control (la Agencia Española de Protección de Datos) si la pide.

7.7 Recurso a subencargados. a) Autorización general por escrito (opción 2 del modelo). El Responsable autoriza al Encargado a recurrir a los subencargados del Anexo IV. El Encargado informará al Responsable por correo electrónico de cualquier cambio previsto (añadir o sustituir un subencargado) con al menos 15 días de antelación, para que pueda oponerse. Si se opone por motivos razonables relacionados con la protección de datos y no se encuentra una solución, el Responsable puede dar por terminado el servicio sin coste y descargar antes sus datos. b) El Encargado impone a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato le impone a él. c) Si el Responsable lo pide, le dará copia de esos contratos (puede tachar la información comercial confidencial). d) El Encargado sigue siendo plenamente responsable ante el Responsable de que el subencargado cumpla. e) Si un subencargado incumple, el Encargado lo notificará al Responsable.

7.8 Transferencias internacionales. a) Cualquier transferencia de datos de los pacientes a un país fuera del Espacio Económico Europeo se hará solo siguiendo instrucciones documentadas del Responsable (la autorización de los subencargados del Anexo IV cuenta como tal) y cumpliendo el capítulo V del RGPD. b) Hoy los datos de los pacientes se guardan y procesan en España. Las excepciones, si las hay, se indican en el Anexo IV con la garantía que las ampara.

Cláusula 8. Asistencia al Responsable

a) Si un paciente se dirige al Encargado para ejercer sus derechos, el Encargado no le responde directamente (salvo para decirle a quién dirigirse): reenvía la solicitud al Responsable sin dilación, como mucho en 5 días hábiles.

b) El Encargado ayuda al Responsable a atender los derechos de los pacientes. Para ello el servicio incluye: exportar todos los datos de un paciente (JSON y PDF) desde su ficha; rectificar la ficha, los programas y las medidas; cortar el acceso del paciente a la app; archivarlo; y suprimirlo cuando no tiene datos clínicos o se ha cumplido el plazo legal de conservación de la historia clínica.

c) El Encargado también ayuda al Responsable, con la información de que dispone, a: hacer la evaluación de impacto (artículo 35 del RGPD) y, si hace falta, la consulta previa a la autoridad (artículo 36); mantener los datos exactos y actualizados (avisándole si detecta que alguno es inexacto u obsoleto); y cumplir sus obligaciones de seguridad (artículo 32). El Encargado tiene preparada una evaluación de impacto del servicio que el Responsable puede pedir y usar como base de la suya.

d) Las medidas técnicas y organizativas para esta asistencia están en el Anexo III.

Cláusula 9. Violaciones de la seguridad de los datos

Si hay una brecha de seguridad (por ejemplo, un acceso no autorizado, una pérdida o una alteración de datos), el Encargado colabora con el Responsable y le ayuda a cumplir los artículos 33 y 34 del RGPD.

9.1 Brecha en datos tratados por el Responsable (por ejemplo, si alguien entra en la cuenta del fisioterapeuta con su contraseña). El Encargado le ayuda a: a) notificarla a la Agencia Española de Protección de Datos sin dilación indebida y, si es posible, en 72 horas desde que la conozca, salvo que sea improbable que suponga un riesgo; b) reunir la información que exige el artículo 33.3 (naturaleza de la brecha, categorías y número aproximado de pacientes y registros afectados, consecuencias probables y medidas tomadas o propuestas), aportándola por fases si no se tiene toda a la vez; c) comunicarla a los pacientes cuando sea probable que suponga un alto riesgo para ellos (artículo 34).

9.2 Brecha en datos tratados por el Encargado. El Encargado la notifica al Responsable sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia de ella, por correo electrónico y, si es urgente, por teléfono. La notificación incluye, al menos: a) qué ha pasado, incluyendo, si es posible, las categorías y el número aproximado de pacientes y registros afectados; b) un contacto donde obtener más información; c) las consecuencias probables y las medidas tomadas o propuestas para resolverla y mitigar sus efectos. Si no tiene toda la información a la vez, envía la primera notificación con lo que sepa y el resto en cuanto lo tenga. Las partes indican en el Anexo III cómo se gestionan las brechas.

Sección III. Disposiciones finales

Cláusula 10. Incumplimiento y terminación

a) Si el Encargado incumple este contrato, el Responsable puede ordenarle que suspenda el tratamiento hasta que cumpla. El Encargado avisará enseguida al Responsable si no puede cumplir.

b) El Responsable puede terminar el contrato si: el tratamiento ha estado suspendido más de un mes por un incumplimiento; el Encargado incumple de forma grave o reiterada este contrato o el RGPD; o el Encargado no cumple una resolución firme de un tribunal o de la autoridad de control.

c) El Encargado puede terminar el contrato si el Responsable insiste en una instrucción que infringe la ley después de haber sido avisado.

d) Al terminar el servicio (porque el Responsable cierra su cuenta o por cualquiera de los motivos anteriores), el Responsable elige: descargar los datos de sus pacientes con la exportación del panel o pedir al Encargado que se los entregue, y después que se supriman. Para cerrar la cuenta basta con escribir a [email protected]. El Encargado conserva los datos 90 días desde el cierre para que el Responsable pueda descargarlos, y después los suprime, también de las copias de seguridad a medida que caduquen, salvo que la ley le obligue a conservarlos. Recuerda que la custodia de la historia clínica durante el plazo legal es obligación del Responsable (artículo 17 de la Ley 41/2002: al menos 5 años desde cada alta): descárgala antes de cerrar la cuenta. Hasta que se supriman, el Encargado sigue cumpliendo este contrato.

e) Responsabilidad y ley aplicable. Cada parte responde de sus propios incumplimientos conforme al artículo 82 del RGPD. Entre las partes, la responsabilidad se rige por los términos de uso, sin limitar los derechos de los pacientes. El contrato se rige por la ley española.

Anexo I. Lista de las partes

Responsable: el fisioterapeuta o la clínica titular de la cuenta. Nombre, correo y datos de la consulta: los que figuran en su cuenta (panel → Perfil). Actividad: asistencia fisioterapéutica a sus pacientes. Firma: aceptación electrónica en el registro o en el panel, con fecha y versión guardadas.

Encargado: Tecnofun Digital S.L, NIF B85000354, domicilio Camino Perales 35, 28232 Las Rozas de Madrid. Contacto para protección de datos: [email protected]. Actividad: titular y prestador del servicio FisioPauta. Firma: publicación de este texto y aceptación del Responsable.

Anexo II. Descripción del tratamiento

Personas cuyos datos se tratan: los pacientes del Responsable (incluidos los que aún no han aceptado la invitación) y, en su caso, el personal de la clínica con acceso a la cuenta.

Datos tratados:

• Identificativos y de contacto: nombre y apellidos, año de nacimiento, correo electrónico y teléfono móvil, si se han dado.
• De salud: la ficha clínica (motivo de consulta, antecedentes, estado), los programas de ejercicio y su calendario, las sesiones con el dolor (0-10), la dificultad y las notas que anota el paciente, los cuestionarios y sus puntuaciones, las medidas, las notas del Responsable (las privadas no las ve el paciente), los mensajes, fotos y documentos que se intercambian, y las conversaciones del Responsable con el asistente de IA sobre el paciente.
• Técnicos: registros de acceso, dispositivos recordados, suscripciones a notificaciones, y registros de exportaciones y supresiones.

Datos de salud: restricciones y garantías. Acceso limitado al Responsable (cada cuenta solo ve a sus pacientes) y al titular del servicio para soporte e incidencias; cifrado en tránsito; cifrado de la base de datos en reposo y de las copias (Anexo III); el asistente de IA se ejecuta en el propio servidor y recibe a los pacientes con un código en lugar de su nombre, correo o usuario; no se usan para entrenar modelos; registro de exportaciones y supresiones; la supresión de la historia clínica solo se permite cuando no hay datos clínicos o se ha cumplido el plazo legal de conservación.

Naturaleza del tratamiento: recogida (la introduce el Responsable o el paciente desde la app), registro, organización, conservación, consulta, presentación al Responsable (paneles, gráficas, avisos según lo que anota el paciente), comunicación al propio paciente, envío de correos y notificaciones, generación de documentos (PDF, Excel), proceso por el asistente de IA local cuando el Responsable lo usa, copia de seguridad, exportación y supresión.

Finalidad: prestar al Responsable el servicio FisioPauta: preparar y enviar programas de ejercicio a sus pacientes, que estos los consulten y registren lo que hacen, comunicarse con ellos y seguir su evolución. El servicio es una herramienta de gestión y comunicación: no diagnostica ni decide tratamientos.

Duración: mientras el Responsable tenga la cuenta, más el plazo de la cláusula 10.d.

Subencargados: objeto, naturaleza y duración en el Anexo IV.

Anexo III. Medidas técnicas y organizativas de seguridad

Medidas que aplica el Encargado, revisadas en una auditoría de seguridad del código en noviembre de 2026. Las marcadas como [PENDIENTE] son compromisos que deben estar activos antes de tratar datos de pacientes reales.

Cifrado y red

• Todo el tráfico va cifrado (HTTPS/TLS); la conexión sin cifrar se redirige. La base de datos no está expuesta a internet: solo la alcanza la aplicación por una red interna.
• Cabeceras de seguridad y política de seguridad de contenidos (CSP) estricta en el panel, que impide ejecutar código inyectado; la web no carga recursos de terceros (ni analítica, ni publicidad, ni fuentes externas).
• HSTS (obligar al navegador a usar siempre HTTPS) [PENDIENTE: se activa con el dominio definitivo].
• Base de datos (incluidas fotos y documentos, que se guardan dentro de ella) en un volumen cifrado (LUKS) [PENDIENTE DE ACTIVAR antes de pacientes reales].

Acceso y autenticación

• Aislamiento entre cuentas: cada consulta a la base de datos se limita a los pacientes del Responsable; fuera de su ámbito, el servicio responde como si no existieran. Hay pruebas automáticas que lo comprueban.
• Responsable: contraseña robusta (validada contra contraseñas comunes), verificación en dos pasos (TOTP) opcional, límite de intentos, sesión del panel que caduca a las 12 horas sin uso, sesiones revocadas al cambiar la contraseña o activar la verificación en dos pasos.
• Pacientes sin contraseña: código de un solo uso por correo (6 dígitos, 10 minutos, 5 intentos, solo se guarda su huella criptográfica), enlaces de acceso de un solo uso que caducan (QR 10 minutos, WhatsApp 72 horas) y «recordar este dispositivo» solo si el paciente lo pide, revocable. Al dar de baja o archivar a un paciente, se anulan al momento todas sus sesiones, enlaces y dispositivos.
• Sesiones de la app: token de acceso de 5 minutos solo en memoria; token de renovación en cookie protegida (HttpOnly, SameSite=Strict) con caducidad absoluta de 90 días.
• Administración: el panel de administración exige verificación en dos pasos y limita los intentos; las interfaces internas no son accesibles desde internet.

Aplicación y dispositivos

• Validación de todo lo que entra: textos sin HTML, imágenes recodificadas y limitadas en tamaño, documentos PDF comprobados, exportaciones Excel protegidas contra fórmulas.
• La app del paciente no guarda datos de salud en la caché del móvil y borra los datos locales al cerrar sesión; los registros pendientes de enviar sin conexión caducan a los 7 días.
• El contenido de los correos (códigos, enlaces, documentos adjuntos) se borra de la base de datos al enviarse.
• Dependencias con soporte de seguridad (Django 5.2 LTS) y revisión automática de vulnerabilidades conocidas en cada cambio; contenedores sin privilegios de administrador.

Asistente de inteligencia artificial

• Modelo de lenguaje abierto ejecutado en el propio servidor del Encargado (Ollama), sin enviar datos a proveedores de IA externos.
• Seudonimización: el modelo ve a cada paciente como un código (PAC-número), nunca su nombre, correo o usuario. El texto libre que escriben el Responsable o el paciente se envía tal cual, por lo que se recomienda no escribir en él datos identificativos innecesarios.
• Por defecto, el asistente solo propone y el Responsable aprueba o rechaza cada cambio. El Responsable puede activar, para un asistente concreto, que aplique algunos cambios sin pedir aprobación; incluso entonces, borrar programas o ejercicios, desprogramar sesiones, registrar sesiones y modificar ejercicios piden siempre aprobación. Todo queda registrado.
• Lo que escribe el paciente se trata como texto no fiable ante el modelo (protección frente a instrucciones maliciosas).
• Los datos no se usan para entrenar ni ajustar modelos.

Copias de seguridad y continuidad

• Copia diaria de la base de datos, cifrada con age antes de salir del servidor; la clave para descifrarla no se guarda en el servidor.
• Las copias cifradas se envían fuera del domicilio a Cloudflare R2 (jurisdicción de la Unión Europea), cifradas con una clave que solo conserva el Encargado. Se comprueba la restauración con un simulacro.
• Prueba de restauración completa antes de abrir el servicio y después cada trimestre.

Organización

• Una única persona con acceso técnico (el titular), con verificación en dos pasos en las cuentas críticas (repositorio de código, correo, proveedores) [PENDIENTE DE CONFIRMAR por el titular].
• Registro de exportaciones y supresiones de datos de pacientes (quién, cuándo, sin datos de salud).
• Procedimiento escrito de gestión de brechas (detección, contención, registro, aviso al Responsable en 48 horas) y de atención de derechos.
• Registro de actividades de tratamiento y evaluación de impacto del servicio, revisados al menos una vez al año o cuando cambie algo importante.

Anexo IV. Lista de subencargados

El Responsable autoriza a estos subencargados (cláusula 7.7):

No son subencargados de los datos de pacientes: el alojamiento y el asistente de IA, porque funcionan en un servidor propio del Encargado en España; y Stripe Payments Europe Ltd. (Irlanda), que gestiona los pagos del Responsable y solo trata datos del Responsable, nunca de sus pacientes. Los avisos al móvil del paciente viajan cifrados a través del servicio de notificaciones de su propio navegador (Google, Apple, Mozilla o Microsoft, según el dispositivo), que no puede leer su contenido.