Contrato de encargo de tratamiento (DPA)

Funciones. Respecto a los datos personales de quienes le llaman y de los visitantes del chat de su sitio web, usted es el responsable del tratamiento y nosotros somos su encargado (LPD suiza art. 5 letras j y k; RGPD art. 4, puntos 7 y 8).

Ley aplicable. «Derecho de protección de datos» significa la LPD y la OPDa suizas y, cuando sea aplicable, el RGPD. El RGPD se aplica en particular a los clientes establecidos en Liechtenstein y a los interesados en el EEE.

Cuáles son sus instrucciones. Tratamos los datos solo siguiendo sus instrucciones documentadas (RGPD art. 28, apartado 3, letra a). Sus instrucciones son:

Solo lo que usted mismo podría hacer. Tratamos los datos solo como usted mismo estaría autorizado a hacerlo (LPD art. 9, apartado 1, letra a).

Instrucciones ilícitas. Si consideramos que una instrucción infringe el derecho de protección de datos, se lo comunicamos (RGPD art. 28, apartado 3, último párrafo).

Obligaciones legales. Si la ley nos obliga a tratar datos de otra manera (por ejemplo, una orden de una autoridad), se lo comunicamos antes de hacerlo, salvo que la ley lo prohíba.

Ámbito. Esta cláusula se aplica si usted, o las personas que trabajan para usted, están sujetos al secreto profesional. Ejemplos: el art. 321 del Código Penal suizo (médicos, dentistas, quiroprácticos, farmacéuticos, psicólogos, fisioterapeutas y otras profesiones sanitarias, y sus auxiliares), el derecho sanitario cantonal o el derecho de Liechtenstein.

Actuamos como su auxiliar. Actuamos como su auxiliar en el sentido del art. 321, número 1, del Código Penal suizo.

La misma obligación para todos los implicados. Obligamos por escrito al mismo secreto a todas las personas que tengan acceso. Con nuestros subencargados acordamos cláusulas de confidencialidad al menos tan protectoras como esta cláusula, en la medida en que las condiciones de cada proveedor lo permitan.

Mensajes para obligados al secreto. Para los obligados al secreto, ningún contenido de la llamada va a un canal de mensajes: la opción de más detalle no se ofrece a centros de salud, y las condiciones de cliente la prohíben a cualquier otro obligado al secreto (condiciones de cliente, cláusula 6.2). Los mensajes después de una llamada contienen entonces solo el número de quien llamó, la hora, y si se pidió que le devuelvan la llamada y si la llamada es urgente.

Su propia obligación sigue siendo suya. Su propia obligación de secreto, y la decisión de si el uso de Oraklo es compatible con ella, siguen siendo suyas. Eso incluye si debe informar a los pacientes o clientes o pedir su consentimiento.

Sin límite de tiempo. Esta cláusula sigue aplicándose sin límite de tiempo después del final del contrato.

Quienes llaman pueden hablar al asistente de su salud, de su religión o de otros asuntos. Son datos sensibles (LPD art. 5, letra c; RGPD art. 9, apartado 1). Tratamos cada registro de llamada como si pudiera contener datos sensibles:

Le corresponde a usted valorar si necesita una evaluación de impacto relativa a la protección de datos (LPD art. 22; RGPD art. 35). Le ayudamos con la información necesaria (cláusula 11).

Su autorización. Usted nos autoriza de forma general a recurrir a los subencargados del anexo 2 (LPD art. 9, apartado 3; RGPD art. 28, apartado 2). El anexo 2 también se publica, y se mantiene actualizado, en nuestra página de información legal.

Subencargados nuevos o sustituidos. Le avisamos por correo electrónico al menos 30 días antes de añadir o sustituir un subencargado que trate los datos de quienes le llaman. Puede oponerse, de forma motivada, en esos 30 días. Si no podemos atender su oposición, puede poner fin al contrato sin coste antes de que el cambio surta efecto. En un cambio con poca antelación necesario para la seguridad o la continuidad, el aviso puede ser más breve, y le explicamos por qué.

Se les aplican las mismas obligaciones. Imponemos a cada subencargado obligaciones de protección de datos en un contrato, aceptando las condiciones de tratamiento de datos del proveedor. Esas obligaciones deben ser tan protectoras como este DPA, en la medida de lo posible (RGPD art. 28, apartado 4).

Adónde transferimos y con qué base. Solo transferimos datos personales al extranjero con una de estas bases:

Datos del EEE. Los datos de Liechtenstein o del resto del EEE se tratan en Suiza y en Alemania. Suiza está reconocida como adecuada por la Comisión Europea (Decisión 2000/518/CE). Las transferencias ulteriores a los Estados Unidos solo se hacen con una de las bases de la cláusula 9.1.

Si nos indica que entreguemos los mensajes después de una llamada en un canal que usted elija (Telegram, o su dirección de correo electrónico), los entregamos allí siguiendo su instrucción.

Lo que entregamos:

Guardamos solo el ID de su chat y el estado de la entrega.

Solicitudes de los interesados. Si un interesado nos pide directamente ejercer sus derechos, le trasladamos la solicitud en un plazo de 5 días hábiles y no la respondemos nosotros, salvo que usted nos lo indique. Le ayudamos a responder, a través del panel o manualmente (RGPD art. 28, apartado 3, letra e; LPD arts. 25 y siguientes).

Sus otras obligaciones. Le ayudamos con la seguridad, la notificación de brechas, las evaluaciones de impacto y la consulta previa a la autoridad (LPD arts. 22 a 24; RGPD arts. 32 a 36), con la información de que disponemos.

Coste. La asistencia que vaya más allá de lo que hace el panel puede cobrarse a una tarifa por hora, si lo acordamos con usted de antemano. La asistencia necesaria por un incumplimiento nuestro es gratuita.

Frase para su propia política de privacidad. Puede usarla tal como está:

Le informamos sin dilación indebida, y procuramos hacerlo en un plazo de 48 horas desde que tengamos conocimiento de una brecha de seguridad de los datos que afecte a sus datos (LPD art. 24, apartado 3; RGPD art. 33, apartado 2).

La notificación indica, en la medida en que se conozca en ese momento:

Durante el contrato. Los registros de llamadas (transcripción, hora, número de quien llama, recado) se suprimen automáticamente 30 días después de la llamada, y los registros del chat del sitio web 30 días después del último mensaje.

Cuando el contrato termina. Los registros de llamadas restantes se suprimen, como muy tarde, 30 días después del final. Las copias de seguridad cifradas pueden conservar una copia hasta 35 días más, tras lo cual se sobrescribe. Antes del final, puede pedirnos una copia de sus registros, y suprimimos antes si usted lo pide (RGPD art. 28, apartado 3, letra g).

Registro del número. Cuando el contrato termina, pedimos a Twilio que suprima el registro de su número, salvo que Twilio deba conservarlo por ley.

Conservación legal. Solo conservamos datos durante más tiempo cuando la ley nos obliga.

Ponemos a su disposición la información que necesita para demostrar el cumplimiento de este DPA (RGPD art. 28, apartado 3, letra h):

Puede encargar una auditoría in situ:

Este DPA se aplica mientras tratemos sus datos. Las cláusulas 5, 13 y 16 siguen aplicándose después del final del contrato.

Si este DPA y las condiciones de cliente están en conflicto, este DPA prevalece en materia de protección de datos.