Anexo de Tratamiento de Datos (DPA)

1. Partes, objeto y prelación

1.1 Partes

De una parte, Braian Vicente Santos, persona física que opera bajo el nombre comercial LYZENT TECH, RNC 223-0179415-6, con domicilio en Calle Alaska #22, San Isidro El Bonito, Sector Nuevo Paraíso, Santo Domingo Este, provincia Santo Domingo, República Dominicana (en lo adelante, «LYZENT TECH» o «el Encargado»).

De la otra, la clínica dental que contrata el servicio App Dental Pro, identificada en el formulario de contratación o en la carátula de firma del final de este documento (en lo adelante, «la Clínica» o «el Responsable»).

1.2 Objeto

Este Anexo regula el tratamiento de datos personales que LYZENT TECH realiza por cuenta y bajo instrucción de la Clínica como consecuencia de la prestación del servicio App Dental Pro, en cumplimiento de la Ley No. 172-13 de la República Dominicana.

1.3 Prelación

En caso de contradicción entre este Anexo y los Términos y Condiciones respecto del tratamiento de datos personales, prevalece este Anexo. En lo no previsto aquí, se aplican los Términos.

2. Roles de las Partes

LYZENT TECH no determina las finalidades ni los medios esenciales del tratamiento de los datos de pacientes. Si en algún momento los determinara, respondería como responsable respecto de ese tratamiento concreto.

3. Descripción del tratamiento

3.1 Naturaleza y finalidad

Alojamiento, almacenamiento, organización, consulta, modificación, respaldo y supresión de los datos introducidos por la Clínica en la aplicación, con la única finalidad de prestar el servicio contratado: gestión de pacientes e historia odontológica, agenda de citas y recordatorios, presupuestos, cobros, facturación con comprobante fiscal electrónico, nómina y comisiones, y reportes de gestión.

3.2 Duración

El tratamiento se extiende mientras esté vigente el contrato de servicio, más el período de devolución y supresión previsto en la cláusula 11.

3.3 Categorías de titulares

• Pacientes de la Clínica, incluidos menores de edad.
• Personal de la Clínica: doctores, recepcionistas, administradores y demás empleados.
• Contactos comerciales o representantes que la Clínica registre en el sistema.

3.4 Categorías de datos

4. Obligaciones de LYZENT TECH como Encargado

LYZENT TECH se obliga a:

1. Tratar los datos únicamente conforme a las instrucciones documentadas de la Clínica. El uso normal de la aplicación por parte de los usuarios autorizados de la Clínica constituye instrucción documentada. Cualquier otro tratamiento requiere instrucción escrita, salvo obligación legal, en cuyo caso LYZENT TECH lo informará previamente si la ley se lo permite.
2. No usar los datos de pacientes para finalidad propia alguna. En particular, y sin que la enumeración sea limitativa: no venderlos, no cederlos a terceros con fines comerciales, no usarlos con fines publicitarios ni de prospección, y no emplearlos para entrenar modelos de inteligencia artificial propios ni de terceros.
3. No acceder al contenido clínico salvo necesidad demostrable de soporte. El acceso del personal de LYZENT TECH a datos de pacientes se limita a lo estrictamente necesario para resolver una incidencia técnica, preferentemente a solicitud de la Clínica, y queda registrado.
4. Garantizar la confidencialidad de toda persona que intervenga en el tratamiento, mediante compromiso expreso de confidencialidad de carácter indefinido, que subsiste tras el fin de la relación laboral o contractual.
5. Aplicar y mantener las medidas de seguridad de la cláusula 6, y no disminuirlas durante la vigencia del contrato.
6. Asistir a la Clínica en el ejercicio de los derechos de los titulares (cláusula 8), en la notificación de incidentes (cláusula 9) y en el cumplimiento de sus demás obligaciones legales, en la medida en que la información esté en poder de LYZENT TECH.
7. Poner a disposición de la Clínica la información necesaria para acreditar el cumplimiento de este Anexo.
8. Devolver o suprimir los datos al terminar el contrato, conforme a la cláusula 11.
9. Informar sin demora a la Clínica si considera que una instrucción recibida infringe la normativa de protección de datos.

5. Obligaciones de la Clínica como Responsable

La Clínica se obliga a:

1. Garantizar la licitud del tratamiento: disponer de base legal suficiente y, tratándose de datos de salud, del consentimiento expreso e informado del paciente o, si es menor de edad, de su padre, madre o tutor legal. Recabar y conservar esa prueba es responsabilidad de la Clínica, no de LYZENT TECH.
2. Informar a sus pacientes de que su información se gestiona mediante un sistema informático operado por un proveedor externo, y de los derechos que les asisten.
3. Introducir datos exactos y mantenerlos actualizados, y cargar únicamente los datos necesarios para la finalidad perseguida.
4. Gestionar sus propios usuarios: crear, modificar y desactivar cuentas, asignar el rol mínimo necesario y revocar de inmediato el acceso del personal que cause baja. LYZENT TECH no puede saber quién dejó de trabajar en la Clínica.
5. Custodiar las credenciales y no compartir cuentas entre varias personas ni entre clínicas distintas.
6. Cumplir la normativa sanitaria que le resulte aplicable en cuanto a contenido, conservación y custodia de la historia clínica.

6. Medidas de seguridad

LYZENT TECH aplica, como mínimo, las siguientes medidas, efectivamente implementadas en el servicio:

• Aislamiento entre clínicas en el propio motor de base de datos, mediante políticas de seguridad a nivel de fila (Row Level Security). El control no depende del código que corre en el navegador: aunque un usuario manipule la aplicación desde el cliente, el servidor no le devuelve datos de otra clínica.
• Control de acceso basado en roles (administrador, doctor, recepcionista), con visibilidad diferenciada de la información.
• Cifrado en tránsito mediante HTTPS/TLS en todas las comunicaciones, con HSTS forzado.
• Cifrado de las contraseñas mediante funciones de derivación de clave. LYZENT TECH no puede leerlas.
• Verificación anti-robot en el inicio de sesión y cierre de sesión automático por inactividad.
• Cabeceras de seguridad del navegador: política de seguridad de contenido (CSP) restrictiva, protección contra encuadre en sitios de terceros y contra la interpretación indebida del tipo de contenido.
• Registro de actividad de las operaciones sensibles dentro de la aplicación.
• Monitoreo de errores en producción, para detectar y corregir fallos con rapidez.
• Copias de seguridad gestionadas por el proveedor de base de datos, con capacidad de restauración.

LYZENT TECH podrá modificar estas medidas siempre que el nivel de seguridad resultante sea equivalente o superior.

7. Subencargados

7.1 Autorización general

La Clínica autoriza de forma general a LYZENT TECH a recurrir a los subencargados necesarios para prestar el servicio, con sujeción a las condiciones de esta cláusula.

7.2 Subencargados vigentes a la fecha de esta versión

7.3 Mensajería por WhatsApp — situación actual

Los mensajes a pacientes (recordatorios de cita, felicitaciones, envío de presupuestos y facturas) se envían desde el dispositivo y la cuenta de WhatsApp de la propia Clínica. La aplicación únicamente compone el texto y abre WhatsApp; el contenido no transita por servidores de LYZENT TECH. Por tanto, Meta Platforms no es subencargado de LYZENT TECH en el flujo actual.

7.4 Alta de nuevos subencargados y derecho de objeción

LYZENT TECH notificará a la Clínica, con al menos 30 días de antelación, la incorporación o sustitución de cualquier subencargado. La Clínica podrá objetar por motivos razonables y fundados en protección de datos, dentro de los 15 días hábiles siguientes a la notificación. Si la objeción no puede resolverse, la Clínica podrá terminar el contrato sin penalidad, con derecho a la exportación de sus datos conforme a la cláusula 11.

7.5 Condiciones aplicables a todo subencargado

LYZENT TECH impondrá a cada subencargado obligaciones de protección de datos no inferiores a las de este Anexo, y responderá frente a la Clínica por el incumplimiento de sus subencargados como si fuera propio.

8. Asistencia ante el ejercicio de derechos

Los titulares deben dirigir sus solicitudes de acceso, rectificación, cancelación u oposición a la Clínica, que es la Responsable. Si un titular se dirigiera a LYZENT TECH, esta le indicará que se dirija a su Clínica y lo comunicará a la Clínica sin demora indebida.

LYZENT TECH asistirá a la Clínica con las funciones de la aplicación y, cuando no basten, con apoyo técnico razonable, en un plazo máximo de 10 días desde la solicitud.

9. Notificación de brechas de seguridad

LYZENT TECH notificará a la Clínica cualquier violación de la seguridad de los datos personales de la que tenga conocimiento sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a su conocimiento efectivo.

La notificación incluirá, al menos y en la medida en que se conozca:

• Descripción de la naturaleza del incidente.
• Categorías y número aproximado de titulares y de registros afectados.
• Consecuencias probables.
• Medidas adoptadas o propuestas para remediarlo y mitigar sus efectos.
• Punto de contacto para ampliar información.

Si no fuera posible facilitar toda la información de una vez, se entregará de forma escalonada sin dilación indebida. La notificación a la autoridad competente y, en su caso, a los titulares afectados, corresponde a la Clínica como Responsable; LYZENT TECH le prestará la asistencia razonable que precise.

Correo para notificación de incidentes en ambos sentidos: lyzenttech@gmail.com.

10. Auditoría e información

LYZENT TECH pondrá a disposición de la Clínica la información razonablemente necesaria para acreditar el cumplimiento de este Anexo. La Clínica podrá realizar, por sí o mediante auditor independiente sujeto a confidencialidad, una auditoría al año, previo aviso de 2 meses, en horario laboral, sin interrumpir la operación del servicio y sin acceder a datos de otras clínicas. Los costes de la auditoría corren por cuenta de la Clínica, salvo que se detecten incumplimientos sustanciales imputables a LYZENT TECH.

11. Devolución y supresión al terminar

1. Terminado el contrato por cualquier causa, la Clínica dispondrá de 30 días para exportar su información en un formato estructurado y de uso común.
2. Transcurrido ese plazo, LYZENT TECH suprimirá los datos de los sistemas de producción y de las copias de seguridad dentro de los 60 días siguientes, conforme a los ciclos de rotación de respaldos.
3. Se exceptúan los datos que LYZENT TECH deba conservar por obligación legal o para la defensa de reclamaciones, que quedarán bloqueados: conservados sin tratamiento activo durante el plazo legal correspondiente y suprimidos al vencer.
4. A solicitud de la Clínica, LYZENT TECH emitirá certificación escrita de la supresión.
5. La suspensión del servicio por falta de pago no equivale a terminación y no activa por sí sola la supresión: los datos se conservan durante el período de suspensión previsto en los Términos y Condiciones.

12. Responsabilidad

Cada Parte responde por el incumplimiento de las obligaciones que este Anexo le atribuye. Los límites de responsabilidad pactados en los Términos y Condiciones resultan aplicables a este Anexo, salvo en los supuestos en que la ley no permita limitarla, y salvo dolo o culpa grave.

La Clínica mantendrá indemne a LYZENT TECH frente a reclamaciones derivadas de la falta de base legal o de consentimiento del paciente, o de instrucciones de la Clínica contrarias a la normativa, cuando LYZENT TECH le hubiera advertido de ello conforme a la cláusula 4.9.

13. Vigencia, modificación y ley aplicable

Este Anexo entra en vigor con la aceptación del servicio y permanece vigente mientras dure el tratamiento. Sus modificaciones se identifican por versión con fecha en formato AAAA-MM-DD; los cambios sustanciales se notificarán y, cuando corresponda, requerirán nueva aceptación expresa.

Se rige por las leyes de la República Dominicana, con la jurisdicción pactada en los Términos y Condiciones.

14. Aceptación y firma

La aceptación de este Anexo se acredita, como mínimo, por la marcación expresa de la casilla de aceptación en el formulario de contratación, junto con la versión aceptada y la fecha y hora registradas por el servidor. Adicionalmente, cualquiera de las Partes puede requerir la firma de este documento, en cuyo caso se utilizará el bloque siguiente.

15. Contacto

Asuntos de protección de datos y notificación de incidentes de seguridad: lyzenttech@gmail.com.
Soporte: WhatsApp 809-499-2112.
Domicilio: Calle Alaska #22, San Isidro El Bonito, Sector Nuevo Paraíso, Santo Domingo Este, provincia Santo Domingo, República Dominicana.

Documentos relacionados