Contrato de Encargado del Tratamiento

Versión 2026-11f · Namthia Health, S.L.

Este contrato regula el tratamiento de datos personales que Namthia Health, S.L. realiza por cuenta de la clínica que contrata el servicio Namthia, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

Forma parte inseparable de los Términos de Servicio y prevalece sobre ellos en todo lo relativo a protección de datos personales.

---

Cláusula 1 — Partes

El ENCARGADO del tratamiento es Namthia Health, S.L., sociedad de responsabilidad limitada constituida en España, con CIF B93824142 y domicilio social en Calle Góngora 8, piso 3, puerta A, 14008 Córdoba (España). Correo de protección de datos: privacidad@namthia.com. Delegada de Protección de Datos: Rocío López del Río, dpo@namthia.com.

El RESPONSABLE del tratamiento es la persona física o jurídica que contrata el servicio Namthia y acepta este contrato en los términos de la Cláusula 2. Queda identificado por los datos que facilita en el alta o, a más tardar, al contratar un plan de pago o recibir su primera factura —denominación o nombre y apellidos, NIF/CIF, domicilio y dirección de correo electrónico—, que constan en su ficha de cliente y que puede consultar y rectificar en cualquier momento desde Ajustes → Clínica del propio servicio.

No se requiere firma manuscrita ni electrónica cualificada: la identificación del RESPONSABLE y la constancia de su aceptación resultan del registro descrito en la Cláusula 2, con el mismo valor probatorio.

Cláusula 2 — Aceptación y prueba del contrato

Este contrato es un contrato de adhesión. Se perfecciona cuando la persona que representa al RESPONSABLE marca de forma expresa la casilla de aceptación específica de este documento, habiendo podido acceder previamente a su texto completo. La casilla es independiente de la de los Términos de Servicio y de la información de privacidad, no está premarcada, y sin marcarla no es posible completar el alta. Las modificaciones posteriores se rigen por la Cláusula 17.

Solo la persona con el rol de Propietario de la cuenta puede aceptar en nombre del RESPONSABLE.

De cada aceptación, el ENCARGADO conserva de forma inalterable: fecha y hora, versión aceptada, identidad y nombre de la persona que aceptó, dirección IP desde la que lo hizo, huella SHA-256 del texto y copia literal e íntegra del documento tal como estaba redactado en ese momento. El RESPONSABLE puede consultar la fecha, la versión, la persona y la IP en Ajustes → Pacientes → RGPD y datos, y obtener sin coste la huella y la copia literal de cada versión aceptada escribiendo a privacidad@namthia.com.

Cláusula 3 — Objeto

El ENCARGADO tratará por cuenta del RESPONSABLE los datos personales necesarios para prestar el servicio contratado, exclusivamente para las finalidades y con el alcance descritos en el Anexo I.

El ENCARGADO no adquiere ningún derecho sobre esos datos, que siguen siendo del RESPONSABLE, y no los tratará para fines propios, salvo lo previsto en la Cláusula 3 bis con la autorización separada que allí se exige.

En particular, y salvo esa autorización, el ENCARGADO no utiliza los datos de pacientes del RESPONSABLE para entrenar ni ajustar modelos de inteligencia artificial, ni propios ni de terceros, ni los agrega con los de otras clínicas.

Cláusula 3 bis — Mejora del servicio con datos anonimizados (requiere autorización separada)

El ENCARGADO podrá solicitar al RESPONSABLE una autorización específica para anonimizar de forma irreversible información clínica tratada por su cuenta y utilizar el resultado, ya anonimizado y agregado, en la mejora de sus funciones de apoyo asistencial y en investigación aplicada propia.

Esa autorización está sujeta a todos los requisitos siguientes, de forma acumulativa:

1. Es previa, expresa y separada de este contrato. Se otorga mediante un acto afirmativo distinto e independiente de la aceptación de este documento, y con información previa sobre las finalidades concretas, el proceso de anonimización y sus límites. Aceptar este contrato no la otorga.
2. No es condición de nada. No condiciona el acceso al servicio, a ningún plan, a ninguna funcionalidad ni a ningún precio. Su denegación no produce ninguna consecuencia para el RESPONSABLE.
3. Es revocable en cualquier momento, sin justificación y sin coste, con efecto inmediato para todo tratamiento futuro. El ENCARGADO advierte de forma expresa que la revocación no puede revertir el entrenamiento de un modelo ya realizado con datos anonimizados anteriores; cesará el uso de datos nuevos y se suprimirán los conjuntos anonimizados que aún conserve.
4. La anonimización es irreversible y conforme al estado de la técnica, a los criterios de la Agencia Española de Protección de Datos y a las directrices del Comité Europeo de Protección de Datos, de modo que el resultado deje de ser dato personal y no permita reidentificar ni al paciente ni, por singularización del conjunto, al propio RESPONSABLE.
5. Nunca se incorporan datos identificativos ni conjuntos que permitan reconstruir la historia clínica de una persona concreta, ni imágenes, documentos, firmas o audios originales.
6. El proceso queda documentado y es auditable por el RESPONSABLE conforme a la Cláusula 13, con descripción de la técnica de anonimización aplicada y de la evaluación del riesgo de reidentificación.
7. La anonimización solo se ejecuta como instrucción del RESPONSABLE, derivada de esa autorización. Sin ella, el ENCARGADO no anonimiza datos para fines propios.

Si el RESPONSABLE otorga la autorización, deberá reflejar este tratamiento en su propia información de transparencia frente a los pacientes (Arts. 13 y 14 RGPD); el ENCARGADO le facilitará el texto orientativo necesario.

Mientras el RESPONSABLE no otorgue esta autorización —situación por defecto—, la Cláusula 3 se aplica sin excepción alguna.

Cláusula 4 — Duración

Este contrato entra en vigor con su aceptación y permanece vigente mientras el ENCARGADO preste el servicio al RESPONSABLE. Extinguida la prestación por cualquier causa, subsisten las obligaciones de confidencialidad, sin límite temporal, y lo previsto en la Cláusula 15.

Cláusula 5 — Instrucciones del RESPONSABLE

El ENCARGADO tratará los datos únicamente siguiendo instrucciones documentadas del RESPONSABLE. A estos efectos constituyen instrucción documentada:

1. Este contrato y sus anexos.
2. La configuración que el propio RESPONSABLE establece en el servicio: módulos y funciones activados, plantillas de historia clínica, roles y permisos de su personal, canales de comunicación habilitados, activación o desactivación de las funciones de inteligencia artificial y de las integraciones con servicios de terceros (Cláusula 5 bis). Los roles que el servicio trae de serie son una configuración inicial que el RESPONSABLE debe revisar antes de invitar a su personal; mantenerlos o cambiarlos constituye su instrucción.
3. Cualquier instrucción adicional que el RESPONSABLE remita por escrito a privacidad@namthia.com, siempre que sea técnicamente ejecutable dentro del servicio contratado.

Si el ENCARGADO considera que una instrucción infringe el RGPD, la LOPDGDD u otra norma de protección de datos aplicable, informará de inmediato al RESPONSABLE y podrá suspender su ejecución hasta que este la confirme o la modifique.

Cláusula 5 bis — Integraciones con servicios de terceros activadas por el RESPONSABLE

1. Activación. El servicio puede ofrecer integraciones opcionales con servicios de terceros. Ninguna está activa por defecto. Activar una integración constituye una instrucción documentada del RESPONSABLE (Cláusula 5) para que el ENCARGADO envíe a ese tercero los datos que se describen en esta cláusula o en la pantalla de activación. Cuando la integración se conecta con la cuenta personal de un miembro del personal del RESPONSABLE, la activa el Propietario para la clínica y cada persona decide, de forma voluntaria, si conecta su propia cuenta. Nadie puede conectar la cuenta de otra persona.
2. El tercero no es subencargado del ENCARGADO. El destino lo elige el RESPONSABLE (o su personal, con su autorización), no el ENCARGADO, por lo que el tercero no figura en el Anexo III. Su tratamiento se rige por las condiciones que el RESPONSABLE o su personal tengan aceptadas con ese tercero. El ENCARGADO no responde del tratamiento que haga el tercero; sí responde de enviar únicamente los datos descritos, de hacerlo de forma segura y de custodiar las credenciales de acceso conforme al Anexo II.
3. Google Calendar (solo en los planes que la incluyan). Cada profesional que la conecte ve sus citas de Namthia en un calendario aparte, llamado «Namthia · ‹nombre de la clínica›», que el servicio crea en su cuenta de Google:
   • No se envía ningún dato del paciente: ni nombre, ni iniciales, ni datos de contacto, ni el servicio, ni notas, ni información de salud, ni se le invita al evento. Cada evento contiene solo un título genérico («Cita», con el nombre de la sala si la tiene, y «No vino» delante si el paciente no acudió), la fecha y la hora, y un enlace a la cita en Namthia que exige iniciar sesión. Las citas canceladas se retiran del calendario.
   • Funciona en un solo sentido: lo que se cambie en Google no modifica la agenda de Namthia.
   • El servicio solo puede acceder al calendario que él mismo crea; no lee ni modifica ningún otro calendario ni evento de esa cuenta.
   • El servicio conserva, por cuenta del RESPONSABLE, el correo de la cuenta de Google conectada, un identificador de esa cuenta, la credencial de acceso (cifrada conforme al Anexo II) y los identificadores del calendario y de los eventos que crea.
4. Desconexión. El profesional puede desconectar su cuenta en cualquier momento, y el Propietario puede apagar la integración para toda la clínica. Al desconectar, al apagarla, al dar de baja al profesional o al terminar este contrato, el servicio deja de sincronizar, borra de la cuenta de Google el calendario que creó (con todos sus eventos) y suprime las credenciales y los identificadores que conservaba. Si la persona ya había retirado el permiso desde Google, el servicio no puede borrar ese calendario: se lo indica para que lo borre ella misma, y suprime igualmente todo lo que conservaba.

Cláusula 6 — Obligaciones del ENCARGADO

Además de lo previsto en el resto del contrato, el ENCARGADO se obliga a:

1. Tratar los datos solo conforme a la Cláusula 5, y nunca para fines propios salvo obligación legal que le sea directamente exigible, en cuyo caso informará al RESPONSABLE antes de tratarlos, salvo que dicha norma se lo prohíba por razones de interés público.
2. Garantizar que las personas autorizadas a tratar los datos están sujetas a un deber de confidencialidad de origen contractual o legal, y limitar el acceso a quienes lo necesiten para prestar el servicio.
3. Aplicar y mantener las medidas técnicas y organizativas del Anexo II (Art. 32 RGPD).
4. No recurrir a otro encargado sin ajustarse a la Cláusula 9.
5. Asistir al RESPONSABLE en la atención de las solicitudes de los interesados, conforme a la Cláusula 11.
6. Asistir al RESPONSABLE en el cumplimiento de sus obligaciones de seguridad (Arts. 32 a 34 RGPD), evaluación de impacto (Art. 35) y consulta previa a la autoridad de control (Art. 36), en la medida de la información de la que disponga. En particular, si el RESPONSABLE debe realizar una evaluación de impacto por registrar tratamientos, imágenes clínicas, estudios biomecánicos o valoraciones con escalas (estética, podología, quiropráctica y demás especialidades), el ENCARGADO le facilitará, a petición suya y sin coste, la descripción de cómo el servicio trata esos datos y de las medidas de seguridad aplicadas (Art. 28.3.f RGPD).
7. Notificar las violaciones de seguridad conforme a la Cláusula 12.
8. Poner a disposición del RESPONSABLE la información necesaria para acreditar el cumplimiento del Art. 28 RGPD y someterse a las auditorías previstas en la Cláusula 13.
9. Suprimir o devolver los datos al finalizar la prestación, conforme a la Cláusula 15.
10. Mantener un registro de las categorías de tratamiento realizadas por cuenta del RESPONSABLE (Art. 30.2 RGPD).

Cláusula 7 — Obligaciones del RESPONSABLE

El RESPONSABLE se obliga a:

1. Introducir en el servicio únicamente datos que esté legitimado a tratar y que sean necesarios para la finalidad perseguida, y a no usar el servicio para tratar datos ajenos a su actividad.
2. Cumplir sus propios deberes de información y transparencia frente a pacientes y personal (Arts. 12 a 14 RGPD), incluida la publicación de su política de privacidad y, cuando active las funciones de inteligencia artificial, la información sobre su uso. El ENCARGADO pone a su disposición una plantilla orientativa, cuya adaptación y publicación corresponde en todo caso al RESPONSABLE.
3. Determinar y sostener la base jurídica de cada tratamiento que realice a través del servicio.
4. Configurar los roles y permisos de su personal conforme al principio de mínimo privilegio, y revocar el acceso de quien deje de necesitarlo.
5. Custodiar las credenciales de acceso de su personal y comunicar sin demora cualquier uso no autorizado.
6. Supervisar el tratamiento durante toda la vigencia del contrato.
7. Sostener la legitimación de las comunicaciones electrónicas que envíe a sus pacientes a través del servicio, incluida la que exige la Ley 34/2002 (LSSI), atender sus bajas y responder de su contenido como remitente. El ENCARGADO actúa en esos envíos siguiendo las instrucciones del RESPONSABLE (Cláusula 5.2).

Cláusula 8 — Medidas de seguridad

El ENCARGADO declara implementadas las medidas descritas en el Anexo II, evaluadas conforme al Art. 32 RGPD atendiendo al estado de la técnica, los costes de aplicación y el riesgo que el tratamiento de datos de salud implica para los derechos de los interesados.

El ENCARGADO podrá modificar esas medidas para mantener o mejorar el nivel de seguridad. Ninguna modificación podrá suponer una disminución del nivel de protección declarado.

Cláusula 9 — Subencargados

El RESPONSABLE autoriza de forma general al ENCARGADO a recurrir a los subencargados relacionados en el Anexo III, para las finalidades y con el alcance allí indicados.

El ENCARGADO garantiza que cada subencargado queda vinculado por contrato a obligaciones de protección de datos equivalentes a las de este contrato, y responde frente al RESPONSABLE del incumplimiento de aquel (Art. 28.4 RGPD).

Cambios. Antes de incorporar un subencargado nuevo o sustituir uno existente, el ENCARGADO lo comunicará directamente al RESPONSABLE, con al menos treinta (30) días naturales de antelación, mediante correo electrónico al Propietario y a la dirección de contacto de la cuenta, y publicará la nueva versión del Anexo III. El aviso indicará la identidad del subencargado, su actividad, su ubicación, las garantías aplicadas y, si la hay, la transferencia internacional. Los treinta días se cuentan desde la entrega del aviso en el servidor de correo del Propietario o su consulta en el panel por el Propietario; el aviso a la dirección de contacto es adicional y no inicia el plazo.

Dentro de ese plazo el RESPONSABLE podrá oponerse por motivos razonables relativos a protección de datos. Si no se opone, la autorización general de esta cláusula alcanza al subencargado, sin nueva aceptación. Si se opone, el ENCARGADO responderá en quince (15) días naturales y, hasta entonces, el subencargado no tratará datos de ese RESPONSABLE. El ENCARGADO retirará el cambio para ese RESPONSABLE si es técnicamente posible u ofrecerá una alternativa; si no, retrasará el cambio o el RESPONSABLE podrá resolver antes de que se aplique. Además, el RESPONSABLE podrá resolver hasta treinta (30) días después de la fecha de efecto. Toda resolución prevista en esta cláusula es sin penalización alguna, con devolución de la parte proporcional de cualquier importe pagado por anticipado y no consumido y exportación de sus datos conforme a la Cláusula 15.

Si un riesgo de seguridad o la pérdida del servicio de un subencargado obligan a sustituirlo antes, el ENCARGADO avisará lo antes posible indicando el motivo y se mantienen estos derechos desde ese aviso.

La retirada de un subencargado que no incorpora a otro se rige por el apartado 17.2.

Cláusula 10 — Transferencias internacionales

Los tratamientos principales —base de datos, alojamiento de la aplicación e inteligencia artificial— se realizan dentro de la Unión Europea, en las regiones indicadas en el Anexo III.

Cuando un subencargado implique un tratamiento fuera del Espacio Económico Europeo, este se efectuará únicamente al amparo de una decisión de adecuación de la Comisión Europea o de las Cláusulas Contractuales Tipo aprobadas por esta, con las medidas complementarias que resulten necesarias. El Anexo III identifica, para cada subencargado, la ubicación del tratamiento y la garantía aplicable.

Cláusula 11 — Derechos de los interesados

El ENCARGADO no atenderá directamente las solicitudes de los interesados salvo instrucción expresa del RESPONSABLE. Si recibe una, la remitirá al RESPONSABLE sin dilación indebida y, en cualquier caso, dentro de tres (3) días hábiles, junto con la información de que disponga.

El servicio incorpora funciones que permiten al RESPONSABLE atender por sí mismo, sin intervención del ENCARGADO, los derechos de acceso y portabilidad (exportación estructurada de todos los datos de un paciente), rectificación, supresión con las limitaciones legales de conservación clínica y fiscal, y limitación u oposición a comunicaciones concretas. Esa exportación de un paciente concreto puede generarla, con registro y con un límite de frecuencia por persona, el personal del RESPONSABLE que tenga acceso a ese paciente y además permiso «Ajustes de clínica», «Datos sensibles (DNI, etc.)» o «Solicitudes de derechos ARCO+». No está disponible en una sesión de asistencia. Estas funciones siguen disponibles con la cuenta en solo lectura en lo siguiente: registrar y tramitar solicitudes, generar la copia de datos, atender una solicitud de supresión abierta desde esa misma solicitud y, con una baja del portal pendiente, quitar el acceso y dejar de enviar emails. En ese estado, quien registró la solicitud no puede anonimizar, salvo el Propietario, y hay un máximo de diez anonimizaciones al día por clínica. Las sesiones de asistencia no pueden tramitar solicitudes de derechos ni anonimizar. Lo que el servicio no permita hacer en ese estado, el ENCARGADO lo realizará sin coste a petición del RESPONSABLE, con los plazos necesarios para que este responda a tiempo.

Si el RESPONSABLE necesitase asistencia adicional del ENCARGADO para atender una solicitud, esta se prestará sin coste cuando el servicio no ofrezca una función equivalente.

Cláusula 12 — Violaciones de seguridad

El ENCARGADO notificará al RESPONSABLE cualquier violación de la seguridad de los datos personales tratados por su cuenta sin dilación indebida y, en cualquier caso, dentro de las 72 horas desde que tenga constancia de ella, a la dirección de correo de contacto de la cuenta.

La notificación incluirá, con la información disponible en ese momento: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, los datos de contacto de la DPO, las consecuencias probables y las medidas adoptadas o propuestas. Si no fuera posible facilitarla de una vez, se completará de forma progresiva sin más demora.

El ENCARGADO no notificará a la autoridad de control ni a los interesados en nombre del RESPONSABLE salvo instrucción expresa de este; la valoración de los Arts. 33 y 34 RGPD corresponde al RESPONSABLE.

Cláusula 13 — Auditoría e información

El ENCARGADO pondrá a disposición del RESPONSABLE, a solicitud de este, la información y la documentación necesarias para acreditar el cumplimiento del Art. 28 RGPD.

El RESPONSABLE podrá auditar el cumplimiento de este contrato, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, una vez por año natural, previo aviso de quince (15) días naturales, en horario laboral y sin afectar a la seguridad ni a la disponibilidad del servicio para otras clínicas. Cuando exista una causa razonable —en particular tras una violación de seguridad notificada o un requerimiento de la autoridad de control— la auditoría podrá realizarse sin sujeción a esa periodicidad.

El ENCARGADO podrá acreditar el cumplimiento mediante certificaciones o informes de auditoría de terceros cuando cubran el alcance solicitado. Los costes de la auditoría corren a cargo del RESPONSABLE, salvo que esta revele un incumplimiento imputable al ENCARGADO.

Cláusula 14 — Personal y confidencialidad

El acceso del personal del ENCARGADO a datos del RESPONSABLE se limita a lo estrictamente necesario para prestar y mantener el servicio, cuando se realiza a través del servicio queda registrado, y está sujeto a compromiso de confidencialidad que subsiste tras el fin de la relación laboral o profesional.

El acceso de soporte a la cuenta del RESPONSABLE requiere una sesión de asistencia identificada y trazable. Durante una sesión de asistencia no es posible generar ni descargar la exportación completa de datos de la clínica. Dentro del servicio, esa exportación solo puede solicitarla el Propietario desde su propia sesión; además, Namthia puede generarla a petición del RESPONSABLE, con constancia del motivo y aviso por correo electrónico al Propietario. El servicio no ofrece al personal de Namthia ninguna función para descargarla: la descarga exige la sesión del Propietario con su segundo factor. La exportación no se cifra con una clave exclusiva del RESPONSABLE: se guarda en almacenamiento privado, cifrado en reposo por el proveedor, durante siete (7) días, y puede permanecer cifrada en las copias de seguridad hasta treinta y cinco (35) días más. El personal técnico autorizado con acceso a la infraestructura podría acceder a ella; ese acceso solo se permite cuando es necesario para mantener el servicio o por instrucción del RESPONSABLE.

Cláusula 15 — Destino de los datos al finalizar el contrato

A la finalización de la prestación, y a elección del RESPONSABLE, el ENCARGADO:

(a) Devolución. Entregará al RESPONSABLE todos los datos personales tratados por su cuenta, en formatos de uso común y legibles por máquina. El RESPONSABLE puede generar y descargar por sí mismo, desde el servicio, una exportación estructurada de los datos de sus pacientes, su historia clínica, los documentos firmados con su archivo, incluidos los originales identificativos conservados de pacientes anonimizados, las imágenes clínicas y la información de facturación. El manifiesto de cada exportación indica lo que no incluye. Lo que no incluya, o lo que por su volumen no pueda generarse automáticamente, el ENCARGADO lo entregará sin coste y por un medio seguro, dentro de los quince (15) días naturales siguientes a la petición del RESPONSABLE a privacidad@namthia.com, o

(b) Supresión. Suprimirá de forma segura los datos y las copias existentes.

El RESPONSABLE dispone de treinta (30) días naturales desde la finalización para ejercer la opción (a) y descargar la exportación. Si el RESPONSABLE lo pide dentro de ese plazo, nada se suprimirá hasta entregárselo. Transcurrido ese plazo, la haya generado o no, el ENCARGADO procederá conforme a la opción (b). Las copias de seguridad desaparecen al vencer su ciclo, como máximo treinta y cinco (35) días después.

Esta función está disponible con independencia del plan contratado y también cuando la cuenta se encuentre en modo de solo lectura por impago: la devolución de los datos no está condicionada al pago de cantidad alguna.

El ENCARGADO conservará únicamente lo que resulte obligatorio por norma imperativa —en particular los plazos fiscales y contables— bloqueado, con acceso restringido y sin tratamiento distinto del exigido por esa obligación, y lo suprimirá al vencimiento del plazo. La evidencia de aceptación de este contrato (Cláusula 2) se conserva mientras puedan derivarse responsabilidades de él.

La obligación de conservar la documentación clínica corresponde al RESPONSABLE. Tras la supresión de la opción (b), el ENCARGADO no conserva documentos firmados por su cuenta: el RESPONSABLE debe descargarlos antes y seguir custodiándolos con acceso restringido durante el plazo que le corresponda.

Cláusula 16 — Responsabilidad

Cada parte responde de los daños causados por su propio incumplimiento de la normativa de protección de datos, en los términos del Art. 82 RGPD.

La limitación de responsabilidad de los Términos de Servicio no se aplica a las responsabilidades derivadas de esta normativa, que se rigen por el Art. 82 RGPD y por el resto del ordenamiento imperativo.

Cláusula 17 — Modificación de este contrato

17.1. Motivos. El ENCARGADO podrá modificar este contrato para adaptarlo a cambios normativos, a criterios de las autoridades de control, o a cambios en el servicio o en sus subencargados.

17.2. Correcciones y reducciones. Las correcciones que no alteran el tratamiento ni las garantías, y la retirada de un subencargado cuyas tareas pasan al ENCARGADO o a subencargados ya autorizados sin ampliar sus categorías de datos ni sus ubicaciones, se publican como nueva versión, con registro y sin preaviso. La retirada se comunicará al RESPONSABLE al publicarla.

17.3. Subencargados. Su incorporación o sustitución se rige por la Cláusula 9; su retirada, por el apartado 17.2.

17.4. Cambios con aviso. Se comunicarán directamente al RESPONSABLE con al menos treinta (30) días naturales de antelación, sin que la mera publicación baste, las siguientes modificaciones: (a) la descripción de funciones opcionales, que solo se tratarán si el RESPONSABLE las activa (Cláusula 5.2); (b) cambios del Anexo II que no reduzcan el nivel de protección (Cláusula 8); (c) adaptaciones exigidas por una norma o autoridad que no amplíen el tratamiento. Los treinta días se cuentan desde la entrega del aviso en el servidor de correo del Propietario o su consulta en el panel por el Propietario; el aviso a la dirección de contacto es adicional y no inicia el plazo. El RESPONSABLE podrá oponerse por motivos razonables de protección de datos o resolver sin penalización hasta treinta (30) días después de la fecha de efecto, con devolución de lo pagado por anticipado y no consumido y exportación conforme a la Cláusula 15. Si se opone, el ENCARGADO responderá en quince (15) días naturales y, hasta entonces, el cambio no se aplicará a ese RESPONSABLE. Si no lo hace, la nueva versión se aplica desde esa fecha.

17.5. Cambios que requieren aceptación expresa. Cualquier otra modificación requiere aceptación expresa del RESPONSABLE, en particular la que: (a) introduzca, sin activación del RESPONSABLE, finalidades, categorías de datos o de interesados, destinatarios o plazos de conservación nuevos; (b) reduzca las obligaciones del ENCARGADO o las garantías de este contrato; (c) suponga un tratamiento de datos de salud fuera del Espacio Económico Europeo no previsto en la Cláusula 10; o (d) cambie los datos enviados a funciones de inteligencia artificial o su revisión humana. El silencio y el uso continuado no equivalen a aceptación. Mientras no acepte, se le sigue aplicando la versión anterior. Si el cambio es necesario para prestar el servicio, tanto el RESPONSABLE como el ENCARGADO podrán resolver, el segundo con treinta (30) días de preaviso, en las condiciones de devolución y exportación del apartado 17.4. La Cláusula 3 bis se rige siempre por su autorización separada.

17.5 bis. Urgencia. Si la ley, una autoridad o un riesgo de seguridad obligan a aplicar un cambio antes, el ENCARGADO avisará lo antes posible indicando el motivo y se mantiene el derecho a oponerse o resolver.

17.6. Constancia. El ENCARGADO conserva de cada aviso la versión, la fecha, los destinatarios y el resultado del envío.

Cláusula 18 — Ley aplicable y jurisdicción

Este contrato se rige por el Derecho español y por el RGPD.

Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de la ciudad de Córdoba (España), con renuncia expresa a cualquier otro fuero que pudiera corresponderles.

Esta sumisión no será de aplicación cuando el RESPONSABLE tenga la condición de consumidor o usuario conforme al Real Decreto Legislativo 1/2007, supuesto en el que serán competentes los Juzgados y Tribunales del domicilio del RESPONSABLE. Tampoco afecta al derecho de todo interesado a reclamar ante la Agencia Española de Protección de Datos o ante los tribunales de su residencia habitual conforme a los Arts. 77 y 79 RGPD.

---

Anexo I — Actividades de tratamiento

Imágenes clínicas, estudios y registro de tratamientos. Las imágenes clínicas (fotografías de antes y después, posturales o de lesiones) las toma el personal del RESPONSABLE y forman parte de la historia del paciente o cliente. No se muestran en el portal del paciente, el servicio no las analiza, no mide sobre ellas ni las usa para identificar a nadie, no se envían a funciones de inteligencia artificial y el servicio no ofrece ninguna función para usarlas con fines publicitarios. El ENCARGADO trata las imágenes clínicas, los estudios biomecánicos, las valoraciones con escalas, los registros de plantillas y ortesis a medida y los productos, lotes, caducidades y dosis aplicados con las garantías que este contrato prevé para los datos de salud, aunque el RESPONSABLE sea un centro no sanitario. Cuándo y para qué se toman las imágenes, el consentimiento que se pide para ello y el texto de cada consentimiento informado los decide el RESPONSABLE.

Las escalas de valoración se puntúan sumando las respuestas según la regla publicada por su fuente; el servicio no asigna categorías ni interpretaciones al resultado. Si el RESPONSABLE fabrica o encarga plantillas u ortesis a medida, es suya la condición de fabricante y son suyas sus obligaciones, incluida la conservación de la documentación del producto durante el plazo legal. El ENCARGADO conserva esa documentación por cuenta del RESPONSABLE mientras dure el contrato y la incluye en la exportación prevista en la Cláusula 15, para que el RESPONSABLE pueda seguir conservándola después.

Informes, objetivos y recomendaciones de gestión. Las estadísticas, los objetivos y las recomendaciones se calculan solo con los datos de la propia clínica del RESPONSABLE, para él. El servicio no compara ni agrega datos de distintas clínicas (Cláusula 3). Los resúmenes escritos con inteligencia artificial se elaboran a partir de cifras agregadas, sin datos identificativos de pacientes, y solo si el RESPONSABLE activa la función. Cuando el RESPONSABLE pone en marcha una recomendación y lo confirma, el servicio puede preparar tareas internas para su equipo con los pacientes afectados (por ejemplo, llamar para una revisión o avisar de un bono que caduca); esas tareas nunca envían comunicaciones a los pacientes por sí solas y excluyen a los pacientes que el RESPONSABLE haya marcado «No contactar».

Informes de evolución. El profesional del RESPONSABLE genera el informe con los datos ya registrados, sin interpretaciones, sin fotografías y sin texto generado con inteligencia artificial, y decide a quién lo entrega. El ENCARGADO no lo envía a terceros ni por correo electrónico: el profesional lo descarga. Solo si el destinatario es el propio paciente y es mayor de edad, puede ponerse además en su portal. Cada generación queda registrada con una copia del informe y entra en la copia de datos del paciente. Al anonimizar al paciente se borran las copias del informe y el nombre de los destinatarios.

Documentos firmados al anonimizar. Como parte del servicio contratado, que el RESPONSABLE instruye con esta función, al anonimizar a un paciente se conservan los documentos firmados de categoría Consentimiento informado, Autorización de procedimiento, Certificado / Informe y Otro, y los de Protección de datos que autoricen imágenes clínicas o consten como autorización de una imagen, una sesión o un informe. Los demás de Protección de datos y los pendientes de firma se vacían. La categoría de cada plantilla la decide el RESPONSABLE. El texto visible para el personal con permiso de documentos queda seudonimizado de forma automática: sin los datos que constan en la ficha del paciente y su representante, y sin DNI, NIE o móvil español reconocibles por su forma. Un dato escrito a mano, como el nombre de un familiar, puede no detectarse. También se quita el nombre del paciente del registro de actividad de sus citas y clases. Si una anonimización queda a medias, la ficha lo indica y debe repetirse. El archivo original, cuando existe, no se modifica, para no invalidar su prueba de firma; si el documento no tiene archivo, se guarda uno con el texto y la firma. Ese archivo sigue conteniendo nombre, documento de identidad y firma, por lo que estos documentos siguen siendo datos personales y la operación no es una anonimización en sentido estricto. Desde el visor, solo el Propietario puede abrir el original, indicando el motivo, nunca en una sesión de asistencia, y cada apertura queda registrada. Se incluye en la exportación de sus datos. Si existe una reclamación o requerimiento, el Propietario puede poner una retención, que queda registrada y detiene la supresión automática y manual de los datos clínicos de ese paciente hasta que la levante. Si al RESPONSABLE le corresponde un plazo mayor, debe indicarlo al ENCARGADO, que lo aplicará.

Existencias y registro de trazabilidad. Los productos y proveedores los da de alta el RESPONSABLE; del proveedor solo se registran datos de empresa y de contacto comercial, que se pueden borrar. Al anonimizar la ficha de un paciente al que se aplicó un producto con lote o UDI, el servicio copia a un registro separado, de acceso restringido, su nombre, documento de identidad, teléfono y correo electrónico y los datos del producto (nombre, categoría, fabricante, lote, UDI, caducidad y fecha de aplicación). El registro no se puede modificar y solo aparece en la búsqueda por un lote o UDI completo, para el Propietario y para los roles que pueden buscar por lote y ver todos los pacientes; cada consulta queda registrada con una huella del lote buscado, no con el lote. También se incluye en la exportación de los datos del RESPONSABLE, que solo descarga el Propietario; la solicita él o Namthia a petición del RESPONSABLE, y cada solicitud y descarga queda registrada. El plazo lo cambia quien gestiona la configuración del centro.

Recordatorios de nueva sesión y avisos de seguridad. Los recordatorios vienen desactivados. Su activación por el RESPONSABLE, que acepta un aviso que queda registrado (quién, cuándo y versión del texto), y la que hace en cada protocolo son instrucciones documentadas (Cláusula 5.2). El intervalo lo fija el RESPONSABLE en cada protocolo o pauta; el ENCARGADO no propone intervalos ni elige destinatarios con criterio propio. El texto es fijo, no menciona productos, tratamientos, zonas, precios ni ofertas, y va firmado con la razón social y el NIF/CIF del RESPONSABLE, que es su remitente. No se envían a menores de edad, a pacientes sin fecha de nacimiento, a quien se ha dado de baja (desde cada aviso, el portal, la ficha o el alta, o con una solicitud de oposición, limitación o supresión), a quien tiene una cita futura ni más de uno cada treinta días contando todas las comunicaciones no transaccionales; fuera de la pauta exigen una sesión completada. Los avisos de seguridad los redacta el RESPONSABLE, se envían solo por correo electrónico a los pacientes a los que se aplicó un lote o UDI concreto (también a los del registro de trazabilidad), con confirmación del número de destinatarios y un máximo de trescientos, y llegan aunque el paciente se haya dado de baja de los recordatorios.

Descripción detallada por actividad en el registro de actividades de tratamiento del ENCARGADO, disponible conforme a la Cláusula 13.

---

Anexo II — Medidas técnicas y organizativas

Cifrado y protección del dato

• Cifrado en tránsito mediante TLS en todas las comunicaciones, tanto con el usuario como entre componentes del servicio.
• Cifrado en reposo de la base de datos y del almacenamiento de archivos por el proveedor de infraestructura.
• Cifrado adicional a nivel de campo con AES-256-GCM, aplicado por la propia aplicación, sobre documentos de identidad (paciente, obligado tributario y representante legal), número de póliza de seguro, y el contenido clínico de la historia (cuerpo del registro, texto libre, resúmenes y contenidos generados con inteligencia artificial y sus versiones históricas), así como sobre certificados digitales y tokens de integraciones. La clave está versionada, se custodia fuera de la base de datos y admite rotación con recifrado.
• Seudonimización en los tratamientos de apoyo: a los modelos de inteligencia artificial no se remiten datos directamente identificativos del paciente.

Control de acceso

• Aislamiento entre clínicas impuesto en la propia base de datos mediante políticas de seguridad a nivel de fila, evaluadas en cada consulta y no solo en la capa de aplicación.
• Control de acceso basado en roles y permisos granulares, configurables por el RESPONSABLE, con verificación en la capa de red, en la de aplicación y en la de base de datos.
• Verificación en dos pasos obligatoria para el perfil de Propietario (aplicación de autenticación o código por correo electrónico), con contraseña de respaldo.
• Revocación de las sesiones activas al desactivar a un miembro del personal.
• Limitación de intentos por dirección IP en autenticación, alta y funciones de inteligencia artificial.

Trazabilidad

• Registro de los accesos a la historia clínica y a los datos de facturación, con identificación del usuario y del momento.
• Registro de las operaciones relevantes sobre pacientes, personal, roles y documentos legales.
• Versionado de la historia clínica: toda modificación conserva el estado anterior.
• Registro del uso de las funciones de inteligencia artificial, con la función invocada y el profesional que la solicitó.
• Marcado del contenido generado con inteligencia artificial (artículo 50.2 del Reglamento (UE) 2024/1689): cada texto lleva un sello de procedencia firmado digitalmente (función, modelo, fecha y si el profesional lo aceptó o editó), sin datos personales, que se conserva en las versiones de la historia clínica, se incluye en las exportaciones y se puede verificar con la clave pública del ENCARGADO. La verificación se hace en el dispositivo de quien la consulta, sin enviar el contenido clínico a terceros.

Conservación y supresión

• Imposición en base de datos, mediante disparadores, del plazo mínimo de conservación de cinco años de la historia clínica (Ley 41/2002), que no puede eludirse desde la aplicación.
• Anonimización a solicitud: se suprimen los datos identificativos de la ficha y se conserva lo exigido por norma imperativa. No es una anonimización irreversible: la información clínica y los archivos originales de los documentos firmados conservados siguen siendo datos personales.
• Los originales conservados se guardan aparte, fuera del alcance de los permisos del personal. Desde el visor solo los abre el Propietario, con motivo y registro previo a la entrega, y no están disponibles en una sesión de asistencia. Se incluyen en la exportación de la clínica, sin motivo por documento: la descarga solo el Propietario y queda registrada. Tienen el cifrado en reposo del proveedor de infraestructura.
• Supresión automática de la información clínica y de los documentos conservados de pacientes anonimizados al vencer el plazo que corresponda, contado desde el último acto registrado, salvo retención por reclamación o requerimiento.

Organización y continuidad

• Copias de seguridad automáticas gestionadas por el proveedor de infraestructura, con la posibilidad adicional de que el RESPONSABLE genere en cualquier momento su propia exportación (Cláusula 15).
• Compromiso de confidencialidad del personal del ENCARGADO y acceso limitado al necesario.
• Delegada de Protección de Datos designada, con contacto publicado.
• Procedimiento documentado de gestión de violaciones de seguridad.
• Evaluación de impacto relativa a la protección de datos de las funciones de inteligencia artificial clínica.
• Monitorización de errores sin grabación de pantalla, con limpieza de los datos identificativos de los errores y supresión de cookies y cuerpos de petición antes del envío.

---

Anexo III — Subencargados autorizados

Versión 2026-11f. El estado documental de cada acuerdo consta en el registro interno de acuerdos de encargo del ENCARGADO, disponible para el RESPONSABLE conforme a la Cláusula 13.

Stripe Payments Europe, Limited presta al ENCARGADO el servicio de cobro de la suscripción del propio RESPONSABLE a Namthia. No trata datos de pacientes ni números de tarjeta en los sistemas del ENCARGADO, y actúa respecto de esos datos como encargado del ENCARGADO en su condición de responsable, no como subencargado de este contrato. Se relaciona aquí a efectos de transparencia.

Google Calendar no es subencargado: es el destino que el RESPONSABLE y su personal eligen al activar esa integración, que no envía datos de pacientes (Cláusula 5 bis).