Contrato de encargo del tratamiento de datos personales

Última actualización: 19/10/2026

Versión 2026-10-19 · Servicios Fisionexa y Dentanexa en modalidad de software como servicio (SaaS)

Este contrato se celebra conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Se acepta electrónicamente al contratar el servicio. La fecha, la versión, la dirección IP y los datos de quien acepta quedan registrados como prueba de la aceptación.

1. Partes

Responsable del tratamiento («la Clínica»): la persona física o jurídica titular de la clínica que contrata el servicio, con los datos que facilita en el alta.

Encargado del tratamiento («APPYWEB»): APPYWEB S.L., CIF B02720803, con domicilio en Calle Mestre Laporta, n.º 2, 1.º, puerta 2, 03801 Alcoy (Alicante), España. Contacto para protección de datos: info@appyweb.es.

2. Objeto

APPYWEB presta a la Clínica el servicio de software de gestión Fisionexa (clínicas de fisioterapia) o Dentanexa (clínicas dentales), según el producto contratado, alojado y mantenido por APPYWEB («el Servicio»). Para prestarlo, APPYWEB trata por cuenta de la Clínica los datos personales que esta introduce o recibe a través del Servicio.

Este contrato regula ese tratamiento. Los datos de la propia Clínica como cliente de APPYWEB (contacto, contratación y facturación) quedan fuera de este contrato: APPYWEB los trata como responsable, según su política de privacidad.

3. Descripción del tratamiento


Finalidad	Prestar el Servicio: agenda y citas, historia clínica, tratamientos y sesiones, consentimientos, comunicaciones con pacientes (WhatsApp, correo, voz y chat), asistentes de inteligencia artificial, cobros, facturación y soporte técnico.
Operaciones	Recogida, registro, organización, conservación, consulta, modificación, comunicación por transmisión a los subencargados autorizados, bloqueo, supresión y destrucción.
Categorías de interesados	Pacientes y sus representantes legales; personal y colaboradores de la Clínica; personas que contactan con la Clínica por los canales conectados al Servicio.
Categorías de datos	Identificativos y de contacto; datos de la cita y de la relación asistencial; datos de salud (historia clínica, diagnósticos, tratamientos, evolución, imágenes y documentos clínicos), que son una categoría especial del artículo 9 del RGPD; conversaciones, notas de voz y sus transcripciones; datos económicos de cobros y facturas; firmas de consentimientos.
Duración	La del contrato del Servicio, más el periodo de conservación de la cláusula 10.

4. Instrucciones de la Clínica

APPYWEB tratará los datos únicamente siguiendo las instrucciones documentadas de la Clínica. Son instrucciones este contrato, la configuración que la Clínica hace del Servicio y las solicitudes que envía por escrito al contacto de la cláusula 1.

APPYWEB no usará los datos para fines propios. En particular, no los usará para entrenar modelos de inteligencia artificial ni los cederá a terceros salvo a los subencargados de la cláusula 7 o por obligación legal. Si APPYWEB considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato a la Clínica.

Si una norma obliga a APPYWEB a tratar los datos de otra forma, informará a la Clínica antes de hacerlo, salvo que esa norma lo prohíba.

5. Confidencialidad

APPYWEB garantiza que las personas autorizadas a tratar los datos se han comprometido por escrito a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad. El acceso se limita al personal que lo necesita para prestar el Servicio o atender una solicitud de soporte de la Clínica. Esta obligación se mantiene después de terminar el contrato.

6. Seguridad

APPYWEB aplica las medidas técnicas y organizativas del artículo 32 del RGPD descritas en el Anexo II, adecuadas al riesgo del tratamiento de datos de salud. Las revisará y actualizará cuando sea necesario, sin rebajar el nivel de protección.

7. Subencargados

La Clínica da a APPYWEB una autorización general para recurrir a los subencargados del Anexo I.

APPYWEB avisará a la Clínica, con al menos 30 días de antelación, de cualquier alta o sustitución de un subencargado, por correo electrónico o en el propio Servicio. La Clínica podrá oponerse por motivos razonables de protección de datos en ese plazo. Si no se encuentra una solución, podrá resolver el contrato del Servicio sin penalización.

APPYWEB impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que asume en este documento, y seguirá siendo responsable ante la Clínica de su cumplimiento.

8. Transferencias internacionales

Algunos subencargados están fuera del Espacio Económico Europeo (ver Anexo I). Esas transferencias solo se hacen con las garantías del capítulo V del RGPD: una decisión de adecuación, como la del Marco de Privacidad de Datos UE-EE. UU. cuando el proveedor esté adherido, o las cláusulas contractuales tipo de la Comisión Europea con las medidas adicionales que procedan. Los servidores del Servicio están en el Reino Unido, que cuenta con una decisión de adecuación de la Comisión Europea. La Clínica puede pedir copia de esas garantías al contacto de la cláusula 1.

9. Asistencia a la Clínica

APPYWEB ayudará a la Clínica, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento:

Derechos de los interesados. Si un interesado se dirige a APPYWEB para ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación o portabilidad, APPYWEB lo trasladará a la Clínica en un plazo máximo de 5 días hábiles y no le responderá directamente salvo que la Clínica se lo indique. El Servicio permite a la Clínica consultar, corregir, exportar y suprimir los datos de sus pacientes.
Violaciones de seguridad. APPYWEB notificará a la Clínica cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ella. La notificación incluirá la información del artículo 33.3 del RGPD disponible en ese momento, y el resto se facilitará en cuanto se conozca. Corresponde a la Clínica, como responsable, notificar a la autoridad de control y a los interesados cuando proceda.
Evaluaciones de impacto y consultas previas (artículos 35 y 36 del RGPD), facilitando la información sobre el Servicio que la Clínica necesite.

10. Fin del Servicio: devolución, conservación y supresión

Cuando termine el contrato del Servicio, por baja voluntaria o por impago definitivo:

Devolución. APPYWEB bloquea el acceso a la clínica y pone a disposición del titular una exportación completa de sus datos en un formato estructurado y de uso común.
Conservación. La Clínica, como responsable, está obligada por la normativa sanitaria a conservar la documentación clínica durante al menos cinco años desde la fecha de alta de cada proceso asistencial (artículo 17 de la Ley 41/2002, de autonomía del paciente). Para ayudarle a cumplirlo, la Clínica instruye a APPYWEB para que conserve los datos bloqueados durante cinco años desde la baja. Durante ese periodo los datos no se tratan para ningún otro fin, solo son accesibles a petición de la Clínica o de jueces, tribunales y autoridades competentes, y se mantienen las medidas de seguridad del Anexo II.
Supresión anticipada. La Clínica puede pedir por escrito que los datos se supriman antes, una vez descargada la exportación. Con esa petición asume que conserva por su cuenta la documentación clínica durante el plazo legal.
Supresión final. Al terminar el periodo de conservación, APPYWEB suprime los datos de forma segura, incluidas las copias de seguridad cuando caduque su ciclo de rotación, y puede certificarlo a petición de la Clínica.

11. Obligaciones de la Clínica

La Clínica, como responsable del tratamiento, se compromete a:

Contar con una base jurídica válida para los datos que introduce en el Servicio e informar a sus pacientes del tratamiento, incluido el uso de asistentes de inteligencia artificial y de los canales de comunicación que active.
Recabar los consentimientos que procedan.
Dar a APPYWEB instrucciones conformes con la normativa.
Gestionar con diligencia los usuarios y permisos de su personal en el Servicio.

12. Demostración del cumplimiento y auditorías

APPYWEB pondrá a disposición de la Clínica la información necesaria para demostrar que cumple este contrato. Permitirá y contribuirá a las auditorías e inspecciones que la Clínica realice o encargue, con un preaviso razonable de al menos 30 días, en horario laboral, sin comprometer la confidencialidad de otros clientes ni la seguridad del Servicio, y como máximo una vez al año salvo que se haya producido una violación de seguridad o lo exija una autoridad de control.

APPYWEB mantiene el registro de actividades de tratamiento del artículo 30.2 del RGPD.

13. Duración, modificaciones y ley aplicable

Este contrato dura lo mismo que el contrato del Servicio. Sus obligaciones de confidencialidad, conservación y supresión siguen vigentes después, el tiempo que sea necesario.

APPYWEB puede actualizar este contrato para adaptarlo a cambios normativos o del Servicio. Publicará una nueva versión y la comunicará a la Clínica con al menos 30 días de antelación. Si la Clínica no está de acuerdo, puede resolver el contrato del Servicio sin penalización antes de que la nueva versión entre en vigor.

Este contrato se rige por la legislación española. Para cualquier controversia, las partes se someten a los juzgados y tribunales del domicilio de la Clínica.

Anexo I. Subencargados autorizados

Subencargado	Servicio que presta	Ubicación del tratamiento	Garantía
OVH (OVH SAS y OVH Ltd)	Alojamiento de los servidores y copias de seguridad	Reino Unido (centro de datos de Londres)	Decisión de adecuación de la Comisión Europea para el Reino Unido
Cloudflare, Inc.	Red de distribución, protección y cifrado del tráfico web	Estados Unidos y red global	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
OpenAI, L.L.C.	Procesamiento de lenguaje natural de los asistentes de IA y transcripción de audio	Estados Unidos	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
Retell AI, Inc.	Asistente de voz telefónico	Estados Unidos	Cláusulas contractuales tipo
Meta Platforms Ireland Ltd.	Canal de mensajería WhatsApp Business	Unión Europea y Estados Unidos	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
Google Ireland Ltd.	Envío de correo electrónico y sincronización de la agenda	Unión Europea y Estados Unidos	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo
Stripe Payments Europe, Ltd.	Cobros a pacientes, cuando la Clínica los activa	Unión Europea y Estados Unidos	Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo

Los subencargados de canales (WhatsApp, voz, agenda, cobros) solo tratan datos si la Clínica activa esa función en el Servicio.

Anexo II. Medidas técnicas y organizativas

Cifrado de todas las comunicaciones en tránsito (HTTPS/TLS) y de los secretos y credenciales guardados.
Separación por clínica: cada clínica tiene su propio espacio de datos y su propia dirección de acceso.
Control de acceso por usuario, con roles y permisos que la Clínica asigna a su personal. Acceso del personal de APPYWEB limitado a lo necesario y registrado.
Comunicaciones firmadas entre los sistemas de APPYWEB, con secretos propios de cada instalación y de cada clínica.
Copias de seguridad periódicas, cifradas y con procedimiento de restauración.
Registro de actividad del Servicio para detectar y analizar incidencias.
Actualizaciones de seguridad del sistema y de las dependencias del software.
Inteligencia artificial bajo supervisión humana: los asistentes no toman decisiones clínicas, informan de que son un sistema automatizado y permiten pasar a una persona en cualquier momento.
Confidencialidad firmada por todo el personal con acceso a datos y contratos de encargo con cada subencargado.
Procedimiento de gestión de incidentes y de notificación de violaciones de seguridad (cláusula 9).