Acuerdo de encargo del tratamiento de Klinaria

Versión 1.1 · vigente desde el 31 de octubre de 2026. Acuerdo del artículo 28 del Reglamento (UE) 2016/679 (RGPD), que forma parte de las condiciones generales de contratación.

1. Partes y forma

La clínica identificada en la ficha de contratación («la clínica») actúa como responsable del tratamiento de los datos de sus pacientes, de su personal y de su actividad. LIMME AI LABS - FZCO («LIMME»), TRN 105238853300001, con domicilio en Building A1, Dubai Digital Park, Dubai Silicon Oasis, Dubái (Emiratos Árabes Unidos), actúa como encargada del tratamiento para prestar Klinaria por cuenta de la clínica.

Este acuerdo se celebra por medios electrónicos, como permite el artículo 28.9 del RGPD, cuando la persona con facultades acepta la contratación. La ficha de contratación identifica a la clínica, a quien acepta, la fecha y la versión aceptada.

Contactos: el de la clínica es la persona que acepta y las que la clínica designe en Klinaria; el de LIMME para privacidad e incidentes es soporte@klinaria.com, con el asunto «Privacidad». Un cambio de contacto se comunicará por un medio que permita comprobar la identidad de quien lo pide.

2. Objeto y duración

La clínica encarga a LIMME el tratamiento descrito en el anexo I, exclusivamente para las sedes contratadas y las funciones habilitadas. El encargo dura mientras se preste el servicio y, después, solo durante las operaciones de devolución, supresión o conservación previstas en este acuerdo o exigidas por la ley.

3. Instrucciones

LIMME trata los datos solo siguiendo instrucciones documentadas de la clínica. Son instrucciones este acuerdo y sus anexos, la configuración del servicio que realicen las personas autorizadas de la clínica y las solicitudes de personas identificadas con facultades suficientes. Los permisos de uso de una persona no la habilitan para dar instrucciones ajenas a sus facultades.

Si LIMME considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato a la clínica y podrá suspender esa actuación mientras se aclara. Si el Derecho de la Unión o de un Estado miembro obliga a LIMME a otro tratamiento, informará antes a la clínica, salvo que ese Derecho lo prohíba por razones importantes de interés público.

LIMME no usará los datos de pacientes para fines propios, publicidad, venta de información ni entrenamiento de modelos de inteligencia artificial. Activar una función de inteligencia artificial no autoriza otras finalidades ni el acceso indiscriminado a historias clínicas.

4. Obligaciones de la clínica

La clínica determina las finalidades y las bases jurídicas de sus tratamientos, incluidas las de los datos de salud; informa a las personas afectadas y obtiene las autorizaciones que le correspondan. Decide qué datos incorpora, evita los innecesarios y fija la conservación que exige su actividad. Mantiene actualizadas sus personas autorizadas, roles y contactos, protege los dispositivos y credenciales que gestiona y comunica a LIMME los incidentes que puedan afectar a Klinaria.

5. Confidencialidad y personal

LIMME limita el acceso a los datos a las personas que lo necesitan para prestar el servicio, que están sometidas a un deber de confidencialidad que subsiste tras su relación con LIMME y reciben la formación adecuada. El acceso de soporte a los datos de una clínica es temporal, exige un motivo, queda registrado y es visible para la clínica en su registro de auditoría. Una cuenta técnica no da por sí sola acceso a todas las clínicas.

6. Seguridad

LIMME aplica las medidas técnicas y organizativas del anexo II, adecuadas al riesgo de tratar datos de salud. Las revisará cuando cambien los riesgos y no las rebajará durante la vigencia del contrato. El anexo distingue lo que está implantado de lo que está en preparación; ninguna certificación se da por obtenida por mencionarse.

7. Subencargados

La clínica autoriza de forma general a LIMME a recurrir a otros encargados. Acepta los que figuran en el anexo III en la fecha de la contratación.

LIMME avisará a la clínica por correo electrónico, con al menos 30 días de antelación antes de añadir o sustituir un subencargado, indicando su identidad, función, datos, ubicación y garantías. La clínica puede oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo. Si las partes no encuentran una solución, la clínica podrá terminar el contrato sin penalización antes de que el cambio surta efecto y LIMME le reembolsará la parte no consumida de un periodo pagado por adelantado.

LIMME impone a cada subencargado, por contrato, obligaciones de protección equivalentes a las de este acuerdo y responde ante la clínica de su cumplimiento. Una función que dependa de un proveedor no incluido en el anexo III permanece desactivada para datos reales.

8. Ubicación de los datos y transferencias internacionales

Los datos de la clínica se alojan en la Unión Europea (anexo III). LIMME está establecida en los Emiratos Árabes Unidos, que no cuentan con una decisión de adecuación de la Comisión Europea. El personal de LIMME puede acceder a los datos desde allí para prestar el servicio, dar soporte y mantener la plataforma, en los términos del anexo I. Ese acceso es una transferencia internacional y se rige por las cláusulas contractuales tipo de la sección 9.

Ninguna otra transferencia a un tercer país queda autorizada de forma general. Las de los subencargados constan en el anexo III con su garantía. La evaluación del país de destino y sus medidas adicionales figuran en el anexo IV; LIMME la mantendrá actualizada y la facilitará a la clínica y a la autoridad de control cuando lo pidan.

9. Cláusulas contractuales tipo

Las partes incorporan a este acuerdo, por referencia y sin modificaciones, las cláusulas contractuales tipo para la transferencia de datos personales a terceros países aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, módulo dos (transferencia de responsable a encargado). La clínica es la exportadora de datos y LIMME la importadora. Al aceptar este acuerdo, ambas partes aceptan esas cláusulas, con las siguientes opciones:

• Cláusula 7 (cláusula de incorporación): se incluye.
• Cláusula 9: opción 2, autorización general por escrito, con el plazo de aviso de 30 días de la sección 7.
• Cláusula 11: no se incluye la opción de un organismo independiente de resolución de litigios.
• Cláusula 13: es autoridad de control competente la del Estado miembro en el que esté establecida la clínica; para las clínicas establecidas en España, la Agencia Española de Protección de Datos.
• Cláusula 17: opción 1, Derecho español.
• Cláusula 18: tribunales de España.

Los anexos de las cláusulas se completan así: anexo I.A, las partes de la sección 1 y de la ficha de contratación; anexo I.B, el anexo I de este acuerdo; anexo I.C, la autoridad de control indicada; anexo II, el anexo II de este acuerdo; anexo III, el anexo III de este acuerdo. Si hubiera contradicción entre las cláusulas tipo y este acuerdo, prevalecen las cláusulas tipo.

10. Representante en la Unión Europea

LIMME no tiene establecimiento en la Unión Europea y, en la fecha de esta versión, no ha designado un representante conforme al artículo 27 del RGPD. Mientras no lo haga:

• La clínica, establecida en la Unión, sigue siendo la responsable del tratamiento y el punto de contacto de sus pacientes y de su autoridad de control para los tratamientos que encarga a LIMME.
• LIMME atenderá directamente, en español y sin coste, las comunicaciones de la clínica, de la autoridad de control competente y de las personas interesadas en soporte@klinaria.com.
• LIMME se somete a la autoridad de control competente y a los tribunales españoles en los términos de las cláusulas 13 y 18 de las cláusulas contractuales tipo, responderá a sus requerimientos y colaborará con ella.
• La falta de representante no reduce ninguna obligación de LIMME ni traslada obligaciones de LIMME a la clínica.

LIMME designará por escrito un representante en un Estado miembro, preferentemente España, si lo exige una autoridad de control o un tribunal, si un cambio normativo, una directriz del Comité Europeo de Protección de Datos o un cambio en sus actividades lo hacen exigible, o si lo decide por iniciativa propia. En los dos primeros casos lo hará en un plazo máximo de 30 días. Comunicará a la clínica la identidad, la dirección y el contacto del representante y actualizará este acuerdo y su política de privacidad. La designación no requiere una nueva aceptación del contrato, salvo que cambie otras condiciones.

11. Derechos de las personas

LIMME ayudará a la clínica a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y las demás que reconozca la ley, mediante las funciones de Klinaria y, cuando no basten, por el canal de soporte. Si una solicitud llega a LIMME, la trasladará a la clínica sin demora y no la resolverá por su cuenta, salvo instrucción de la clínica o mandato legal.

12. Violaciones de seguridad y evaluaciones

LIMME notificará a la clínica cualquier violación de la seguridad de sus datos personales sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ella, por correo electrónico a sus contactos. Comunicará lo que se conozca sobre su naturaleza, los datos y las personas afectadas, sus posibles consecuencias y las medidas adoptadas o propuestas, con un contacto de seguimiento, y completará la información por fases si es necesario. No esperará a tener un informe definitivo.

LIMME ayudará a la clínica, con la información de que disponga, a cumplir sus obligaciones de seguridad, de notificación a la autoridad y a las personas afectadas, de evaluación de impacto y de consulta previa.

13. Información y auditorías

LIMME pondrá a disposición de la clínica la información necesaria para demostrar el cumplimiento de este acuerdo, incluida la documentación de sus medidas y de sus subencargados. La clínica puede realizar o encargar a un auditor independiente sometido a confidencialidad una auditoría al año, avisando con 30 días de antelación, y siempre que lo requiera una autoridad de control o tras una violación de seguridad que la afecte. Las auditorías se harán sin comprometer la seguridad ni los datos de otras clínicas. Las deficiencias se documentarán con su corrección.

14. Actividad del equipo

Los registros de actividad de Klinaria sirven para la seguridad de los datos, la atribución de acciones y las funciones operativas autorizadas. No habilitan la valoración emocional, la vigilancia laboral con inteligencia artificial, las decisiones sancionadoras automáticas ni la clasificación de trabajadores, y la clínica no los utilizará como base documental en procedimientos laborales.

15. Fin del encargo

Al terminar el contrato, la clínica dispone de 30 días para pedir a LIMME, en soporte@klinaria.com, la devolución de sus datos en un formato estructurado y de uso común. Pasado ese plazo, LIMME suprimirá los datos de sus sistemas de producción en los 30 días siguientes y lo confirmará a la clínica por escrito.

Las copias de seguridad cifradas que contengan esos datos se eliminarán al agotarse su ciclo de conservación (anexo II). LIMME no las usará salvo para recuperarse de un desastre y, si tuviera que restaurar una, aplicará de nuevo las supresiones antes de reanudar el servicio.

Si la clínica necesita que LIMME conserve datos después de ese plazo para cumplir una obligación legal propia, por ejemplo la conservación de la historia clínica, deberá pedirlo por escrito antes de que termine el plazo de exportación, indicando el alcance y la duración. Esa custodia se regulará por acuerdo aparte. LIMME conservará únicamente lo que le exija el Derecho de la Unión o de un Estado miembro, con acceso restringido y sin reutilizarlo.

16. LIMME como responsable

LIMME trata como responsable, y no como encargada, los datos de contratación, facturación y relación comercial con la clínica y los de seguridad de su plataforma, según su política de privacidad. Esa función no le da ningún fin propio sobre los datos de los pacientes.

17. Prevalencia

En materia de protección de datos, este acuerdo prevalece sobre las demás condiciones del contrato, y las cláusulas contractuales tipo prevalecen sobre este acuerdo. Nada en el contrato limita los derechos de las personas afectadas ni las obligaciones imperativas de las partes.

Anexo I · Descripción del tratamiento

Personas afectadas y datos, en la medida en que la clínica use cada función:

Categorías especiales: datos de salud (artículo 9 del RGPD), protegidos con las medidas reforzadas del anexo II. Una reseña de Google puede contener datos de salud que su autor decidió publicar: se guarda cifrada y, si Kena detecta que habla de salud, no se envía a los proveedores de inteligencia artificial.

Operaciones: registro, organización, conservación, consulta, modificación, exportación, comunicación a los propios pacientes por los canales que la clínica habilite y supresión, para la agenda, la gestión de pacientes y su documentación, los presupuestos, la facturación, los permisos y la trazabilidad de Klinaria; lectura de la ficha, las reseñas y las métricas del Perfil de Empresa de Google de la clínica y publicación de las respuestas que la clínica aprueba; y análisis por las funciones de inteligencia artificial de Kena que la clínica use.

Finalidad: prestar a la clínica el servicio de gestión contratado. Ninguna otra.

Frecuencia: continua mientras dure el servicio. El acceso desde los Emiratos Árabes Unidos es puntual, para soporte, mantenimiento y respuesta a incidentes.

Duración: la del contrato y los plazos de la sección 15.

Comunicaciones con pacientes: requieren un canal y una finalidad habilitados por la clínica, un destinatario verificado y las autorizaciones exigibles. El uso de WhatsApp requiere la cuenta oficial de la clínica en Meta.

Perfil de Empresa de Google: si la clínica lo conecta, LIMME accede a él con el permiso que una persona autorizada de la clínica concede en Google y guarda una copia de la ficha elegida, de sus reseñas (cada lectura trae hasta 1.000) y de sus métricas diarias mientras la conexión esté activa. Una respuesta solo se publica en Google cuando una persona de la clínica la revisa y la confirma. Al desconectar, o cuando Google rechaza el permiso porque se ha retirado o ha caducado, LIMME borra todos los datos de la conexión; en el registro de auditoría queda constancia de quién lo hizo, o de que lo hizo el sistema, y de cuándo, sin datos de Google.

Inteligencia artificial: las funciones de Kena se ejecutan cuando una persona autorizada de la clínica las usa, con los permisos de su rol y de su plan, y envían a los proveedores de modelos del anexo III solo lo necesario para cada petición. Antes de enviarlo, Kena sustituye por marcadores los nombres de los pacientes que reconoce y los correos, teléfonos, documentos de identidad y cuentas bancarias que detecta. De las reseñas de Google se envían solo la nota, la fecha y el texto, sin el nombre del autor y sin los correos ni los teléfonos que contengan; las que Kena detecta que hablan de salud no se envían. Los documentos que la clínica sube para enseñar a Kena se procesan tal como están, por lo que la clínica no debe incluir en ellos datos de pacientes. Ningún proveedor puede usar los datos para entrenar sus modelos.

Voz: la voz de Kena para el personal de la clínica usa el proveedor de voz del anexo III en las condiciones que allí se indican. La voz para pacientes no está activa; requerirá además las condiciones de privacidad, ubicación y conservación de su proveedor.

Anexo II · Medidas de seguridad

Implantadas:

• Separación de clínicas: cada consulta a la base de datos se ejecuta en el ámbito de una sola sede, con seguridad a nivel de fila forzada en PostgreSQL y filtro explícito de la clínica en la aplicación. La aplicación se conecta sin privilegios de superusuario.
• Permisos: comprobados en el servidor en cada operación y denegados por defecto.
• Identidad: cuentas individuales; verificación en dos pasos obligatoria para los roles que fija la política de la clínica; verificación reforzada para operaciones sensibles; PIN de mostrador solo para las funciones de mostrador.
• Cifrado: comunicaciones cifradas con TLS; la narrativa clínica sensible se cifra en reposo con claves específicas de cada sede.
• Trazabilidad: registro de auditoría de las acciones y los accesos sensibles, incluidos los accesos de soporte, visible para la clínica.
• Soporte: accesos temporales, con motivo obligatorio, caducidad automática y registro.
• Registros técnicos: sin secretos ni datos de pacientes en los registros de la aplicación.
• Copias de seguridad: copia diaria de la base de datos, cifrada antes de salir del servidor y guardada en un almacenamiento con jurisdicción en la Unión Europea; la clave para descifrarla no está ni en el servidor ni en el almacenamiento. Restauración ensayada el 27 de octubre de 2026.
• Personal: autorización de accesos, compromisos de confidencialidad, formación y retirada de accesos al terminar la relación.

En preparación, sin compromiso de fecha: limpieza automática de copias con un ciclo de 30 días que conserva siempre las dos últimas válidas (mientras no esté activa, LIMME elimina las copias que exceden ese ciclo en revisiones periódicas); diario de supresiones para reaplicarlas tras una restauración; base de datos gestionada con recuperación a un momento determinado; alta disponibilidad.

Sin compromiso: la copia diaria es un objetivo de frecuencia, no una garantía de pérdida máxima de datos. LIMME no declara certificaciones ISO, ENS ni auditorías externas de seguridad que no tenga.

Anexo III · Subencargados autorizados

Proveedores que no son subencargados de LIMME: Stripe cobra la suscripción a la clínica por cuenta de LIMME, como responsable de su facturación. Meta presta WhatsApp Business a la clínica en virtud del contrato que la clínica tiene con Meta; Klinaria solo actúa como integración técnica. Google presta el Perfil de Empresa a la clínica en virtud de sus propias condiciones; Klinaria lo lee y publica en él, por instrucción de la clínica, como integración técnica.

Proveedores de reserva y de voz: OpenAI, Mistral AI y ElevenLabs solo reciben datos si LIMME activa su conexión una vez cumplidas las condiciones de la tabla. LIMME informará a la clínica cuando active cualquiera de ellos.

Anexo IV · Evaluación de la transferencia a los Emiratos Árabes Unidos

Qué se transfiere: acceso remoto puntual del personal de LIMME, desde los Emiratos Árabes Unidos, a datos alojados en la Unión Europea, para soporte, mantenimiento y respuesta a incidentes. Los datos no se copian de forma sistemática fuera de la Unión.

Marco del país de destino: los Emiratos Árabes Unidos no tienen decisión de adecuación. Disponen de una ley federal de protección de datos personales (Decreto-ley federal n.º 45 de 2021).

Declaraciones de LIMME: a su leal saber y entender, LIMME no ha recibido ninguna solicitud de autoridades públicas para acceder a datos de las clínicas y no tiene motivos para creer que la legislación que le es aplicable le impida cumplir las cláusulas contractuales tipo.

Medidas adicionales: alojamiento en la Unión Europea; accesos de soporte temporales, motivados, registrados y visibles para la clínica; cifrado en tránsito y cifrado en reposo de la narrativa clínica con claves por sede; mínimo personal con acceso; copias cifradas con la clave fuera del almacenamiento.

Compromisos ante solicitudes de autoridades: LIMME avisará a la clínica de cualquier solicitud de acceso de una autoridad pública, salvo que se le prohíba; examinará su legalidad y la impugnará cuando haya motivos; facilitará solo los datos mínimos imprescindibles; y documentará cada solicitud, conforme a las cláusulas 14 y 15 de las cláusulas contractuales tipo.

Revisión: LIMME revisará esta evaluación al menos una vez al año y siempre que cambien la legislación aplicable o la forma de acceder a los datos, y avisará a la clínica si deja de poder cumplir las cláusulas.