Contrato de encargado del tratamiento

Plantilla pendiente de revisión legal. Es orientativa y puede cambiar antes de la firma.

1. Partes

Responsable: el profesional o centro que contrata Noa (nombre, NIF, domicilio y número de colegiado se completan al firmar).

Encargado: [Pendiente: nombre o razón social del titular de Noa], con NIF [Pendiente: NIF/CIF] y domicilio en [Pendiente: dirección]. Contacto: team@noa.company.

2. Objeto

Noa presta al responsable un servicio de acompañamiento de sus pacientes entre sesiones (asistente conversacional configurado con el enfoque del responsable) y un portal con resúmenes previos a la sesión. Para ello trata, por cuenta del responsable, los datos necesarios y solo los que el paciente acepta compartir.

3. Datos y personas afectadas

• Personas: pacientes del responsable mayores de 18 años que entran en Noa con su código, y el propio responsable y su equipo.
• Datos: identificativos y de contacto; ánimo declarado, temas, tareas y señales de riesgo derivadas de su uso de Noa, según los consentimientos del paciente. Incluye datos de salud (categoría especial, art. 9 RGPD).
• No se comparten con el responsable las conversaciones del paciente con Noa: solo resúmenes y señales que el paciente consiente.

4. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del responsable y para prestar el servicio.
• No usar los datos para fines propios, no venderlos y no usarlos para entrenar modelos de IA, ni permitir que lo hagan sus subencargados.
• Garantizar la confidencialidad de las personas autorizadas a tratarlos.
• Aplicar medidas de seguridad adecuadas (art. 32): cifrado en tránsito y en reposo, control de acceso por fila, verificación en dos pasos para el portal, registro de accesos y copias de seguridad.
• Ayudar al responsable a atender los derechos de los interesados y en las evaluaciones de impacto que necesite.
• Notificar al responsable cualquier brecha de seguridad sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que la conozca.
• Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

5. Subencargados

El responsable autoriza a Noa a contar con estos subencargados, con contrato que les impone las mismas obligaciones:

• Supabase: base de datos, autenticación y funciones (región de la UE, Irlanda).
• Vercel: alojamiento de la web, la app web y el portal.
• Anthropic (proveedor del modelo de lenguaje): genera las respuestas y los resúmenes. Por contrato, no usa los datos enviados por API para entrenar sus modelos.
• Resend: envío de emails transaccionales (sin contenido clínico).

Noa avisará con antelación de cualquier cambio de subencargados para que el responsable pueda oponerse. Cuando haya transferencias fuera del EEE se aplicarán las cláusulas contractuales tipo de la Comisión Europea u otra garantía válida. [Pendiente: revisar con asesoría legal las transferencias internacionales]

6. Protocolo de crisis

Ante señales de riesgo, Noa da al paciente los teléfonos de emergencia de su país y avisa al responsable, que es quien decide clínicamente. Noa no es un servicio de emergencias ni sustituye el criterio del profesional.

7. Duración y fin del encargo

Este contrato dura mientras el responsable use Noa. Al terminar, Noa devolverá o suprimirá los datos, a elección del responsable, en un plazo máximo de 30 días, salvo lo que la ley obligue a conservar, bloqueado. [Pendiente: plazo y formato de devolución a confirmar con asesoría legal]

8. Ley aplicable

Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD) en España. Para profesionales en Colombia, además, la Ley 1581 de 2012. [Pendiente: jurisdicción y firma a confirmar]