Acuerdo de tratamiento de datos (DPA)
1. Objeto y duración
Cita2 trata datos personales de los clientes del Responsable únicamente para prestar el servicio de agendamiento y gestión contratado, mientras dure la relación contractual y hasta la devolución o supresión de los datos (cláusula 10).
2. Datos y titulares
Titulares: clientes, pacientes y tutores del Responsable. Datos: identificación, contacto, historial de reservas y pagos y, si el Responsable activa módulos clínicos, datos de salud (categoría especial/sensible).
3. Instrucciones
Cita2 trata los datos solo según las instrucciones documentadas del Responsable (este acuerdo y el uso de la plataforma) y le avisará si una instrucción infringe la ley. Cita2 no usa estos datos para fines propios.
4. Confidencialidad
El personal de Cita2 con acceso a los datos está sujeto a deber de confidencialidad y accede solo cuando es necesario para dar soporte o mantener el servicio.
5. Seguridad
Cita2 aplica las medidas descritas en su Política de privacidad (sección 8): cifrado en tránsito, hash de contraseñas, aislamiento por negocio, control de acceso por roles, registro inalterable de consentimientos y acciones de privacidad, y cifrado en reposo y respaldos a cargo de sus proveedores de infraestructura.
6. Subencargados
El Responsable autoriza de forma general a los subencargados de la lista vigente:
| Proveedor | Finalidad | Ubicación |
|---|---|---|
| Supabase | Base de datos y almacenamiento de archivos | Configurable (ver aviso) |
| Railway | Alojamiento del servidor de la aplicación | EE. UU. |
| Resend | Envío de correos transaccionales y de campañas | EE. UU. |
| Twilio | Envío de mensajes de WhatsApp | EE. UU. |
| Stripe | Procesamiento de pagos con tarjeta | EE. UU. / UE |
| PayPal | Procesamiento de pagos | EE. UU. / UE |
| MercadoPago | Procesamiento de pagos (solo Chile y países habilitados) | LatAm |
| CARTO / OpenStreetMap | Mapas de ubicación en páginas públicas (se envía la IP del visitante) | UE / EE. UU. |
Cita2 mantiene contratos con ellos con obligaciones equivalentes y responde por su cumplimiento. Avisará los cambios con anticipación razonable; el Responsable puede objetar y, de no haber alternativa, terminar el servicio.
7. Transferencias internacionales
El Responsable autoriza el tratamiento fuera de su país. Cita2 usará cláusulas contractuales tipo u otros mecanismos válidos cuando la ley los exija.
8. Derechos de los titulares
Cita2 ofrece al Responsable herramientas para atender acceso, portabilidad, rectificación, restricción y supresión (panel Privacidad y datos) y le derivará las solicitudes que reciba de sus clientes dentro de 15 días. El Responsable es quien responde al titular.
9. Incidentes de seguridad
Cita2 notificará al Responsable sin demora indebida tras conocer una brecha que afecte sus datos, con la información disponible para que cumpla sus propias obligaciones de aviso (la autoridad, en general, dentro de 72 horas).
10. Devolución y supresión
Al terminar el servicio, Cita2 permitirá exportar los datos y luego los suprimirá, salvo los que deba conservar por ley. Los registros bajo deber legal de conservación se restringen y se eliminan al vencer el plazo.
11. Auditoría
Cita2 pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitirá auditorías razonables, con aviso previo y sin afectar a otros clientes.
12. Obligaciones del Responsable
El Responsable declara tener base legal para tratar los datos, informar a los titulares con un aviso de privacidad, obtener el consentimiento explícito para datos de salud y marketing, y mantener actualizado su país y su plazo de conservación clínica en la plataforma.
Documento base: debe ser revisado por asesoría legal de cada jurisdicción.