Acuerdo de tratamiento de datos

Partes y roles

El responsable es el profesional de la salud o la clínica titular de la cuenta en Salumbra, que decide qué pacientes registrar, qué cuestionarios enviar y con qué finalidad. El encargado es Salumbra, que trata los datos únicamente para prestar el servicio y conforme a las instrucciones del responsable.

Objeto y datos tratados

Salumbra trata, por cuenta del responsable: datos de identificación y contacto de pacientes (nombre, teléfono, correo, fecha de nacimiento, identificador clínico opcional), datos del evento médico en seguimiento, respuestas a cuestionarios validados y puntajes derivados, y los registros de envío y entrega de mensajes. Son datos personales sensibles conforme a la LFPDPPP.

Obligaciones de Salumbra como encargado

Salumbra se obliga a:

• Tratar los datos únicamente conforme a las instrucciones del responsable, que se expresan mediante el uso de las funciones del servicio.
• No usar los datos para finalidades propias ni distintas a la prestación del servicio.
• Implementar las medidas de seguridad administrativas, técnicas y físicas descritas en la página de seguridad, y mantenerlas actualizadas.
• Guardar confidencialidad sobre los datos, incluso después de terminar la relación.
• Suprimir los datos cuando el responsable lo indique (eliminando pacientes o la organización) o al terminar el servicio, salvo obligación legal de conservación.
• Abstenerse de transferir los datos, salvo a los subencargados listados abajo o por instrucción del responsable.
• Notificar al responsable sin demora indebida cualquier vulneración de seguridad que afecte los datos, con la información disponible sobre su naturaleza, alcance y medidas adoptadas, para que el responsable cumpla sus obligaciones de notificación a los titulares.
• Colaborar con el responsable en la atención de solicitudes de derechos ARCO de los pacientes, canalizando en un máximo de cinco días hábiles cualquier solicitud que reciba directamente.

Obligaciones del responsable

El responsable se obliga a:

• Contar con la base legal y, cuando aplique, el consentimiento expreso de sus pacientes para el tratamiento de datos de salud, e informarles mediante su propio aviso de privacidad, que puede remitir a este acuerdo y al aviso de Salumbra.
• Registrar únicamente pacientes bajo su atención y datos exactos y pertinentes.
• Obtener el consentimiento de sus pacientes para recibir mensajes por WhatsApp o SMS antes de registrar su teléfono.
• Administrar los accesos de su equipo y retirar los de quienes dejen de colaborar.

Subencargados

El responsable autoriza a Salumbra a apoyarse en los proveedores listados en la página de seguridad (Convex, Vercel, WorkOS, Postmark, Meta WhatsApp Business Platform, Twilio, PostHog, Sentry), que tratan los datos bajo contratos que les imponen obligaciones equivalentes. Publicaremos cualquier cambio en esa lista con al menos 30 días de anticipación; si el responsable objeta de forma razonable, podrá terminar el servicio sin penalización.

Transferencias internacionales

Los subencargados operan principalmente en Estados Unidos. Las transferencias se amparan en el artículo 37 de la LFPDPPP y en las cláusulas contractuales con cada proveedor. El responsable acepta estas transferencias como necesarias para el servicio.

Auditoría y evidencia

Salumbra pondrá a disposición del responsable, previa solicitud y hasta una vez al año, la información razonablemente necesaria para demostrar el cumplimiento de este acuerdo: descripción de medidas de seguridad, lista de subencargados vigente, y resúmenes de incidentes que le hayan afectado. El registro de auditoría de su organización está disponible en todo momento dentro de la aplicación.

Duración y terminación

Este acuerdo rige mientras exista la cuenta. Al terminar, el responsable puede exportar sus datos antes de eliminar la organización; una vez eliminada, Salumbra suprime los datos conforme a la sección de conservación de la página de seguridad.