Condiciones de encargo del tratamiento
CONDICIONES DE ENCARGO DEL TRATAMIENTO DE DATOS PERSONALES
Anexo a las Condiciones Generales de Contratación de la Aplicación FISI
Versión 2026-11-06 · Última actualización: 06/11/2026
PARTES
Las presentes condiciones regulan el encargo del tratamiento de datos personales que se produce como consecuencia de la contratación de servicios a través de la FISI (en adelante, la “Aplicación”), entre:
De una parte, la persona física o jurídica que contrata los servicios ofrecidos a través de la Aplicación, identificada con los datos facilitados durante el proceso de registro y contratación, que actúa como Responsable del tratamiento, en adelante, RESPONSABLE.
Y de otra parte, Fisilistic S.L., como Encargado del tratamiento, con CIF B05670617 y domicilio social situado en Avenida Monte Igueldo 10, Piso 3 Apto 29, 28053 Madrid, ESPAÑA, en adelante, ENCARGADO.
ACEPTACIÓN Y FORMALIZACIÓN
Las presentes condiciones han sido redactadas por el ENCARGADO y forman parte integrante de las Condiciones Generales de Contratación de la Aplicación. Con carácter previo a la contratación, el RESPONSABLE puede acceder a ellas, leerlas, descargarlas, imprimirlas y almacenarlas desde la propia Aplicación.
La contratación de los servicios a través de la Aplicación, mediante la marcación de la casilla de aceptación habilitada al efecto, supone que el RESPONSABLE ha sido informado y acepta de forma expresa e íntegra estas condiciones, que quedan formalizadas como contrato de encargo del tratamiento por escrito, en formato electrónico, conforme a los apartados 3 y 9 del artículo 28 del RGPD, y con plena validez y eficacia de acuerdo con el artículo 23 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI). Sin dicha aceptación no será posible completar la contratación.
El ENCARGADO conservará constancia electrónica de la aceptación (identificación del RESPONSABLE, fecha y hora, y versión de las condiciones aceptada) y remitirá al RESPONSABLE la confirmación de la contratación junto con una copia de las presentes condiciones en soporte duradero, a la dirección de correo electrónico facilitada en el registro.
Quien realice la contratación en nombre de una persona jurídica o de un profesional declara contar con las facultades de representación suficientes para obligarle en los términos de estas condiciones.
ANTECEDENTES
1. El tratamiento de los datos personales objeto de estas condiciones se realizará conforme a lo dispuesto en el Reglamento (UE) 2016/679, de 27 de abril de 2016 (RGPD), y la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).
2. El RESPONSABLE contrata, a través de la Aplicación, los servicios del ENCARGADO consistentes en:
- Servicios prestados: los descritos en la Aplicación y en sus Condiciones Generales de Contratación, según el plan o modalidad contratada por el RESPONSABLE
- Duración: la del periodo de contratación o suscripción vigente en la Aplicación, incluidas sus renovaciones, hasta que se produzca la baja o resolución del servicio.
3. Para la prestación de dichos servicios, al ENCARGADO le resulta necesario el acceso y tratamiento de los datos personales responsabilidad del RESPONSABLE.
4. En cumplimiento de lo dispuesto en el artículo 28 del RGPD, el ENCARGADO ofrece garantías suficientes para implementar políticas técnicas y organizativas apropiadas para aplicar las medidas de seguridad que establece la normativa vigente y proteger los derechos de los interesados, por lo que el tratamiento se regirá por las siguientes
INSTRUCCIONES PARA EL TRATAMIENTO DE DATOS
- Deber de informar el tratamiento al interesado: corresponde al RESPONSABLE facilitar a los interesados la información exigida por los artículos 13 y 14 del RGPD en el momento de la recogida de los datos [indicar, en su caso, si el ENCARGADO asume esta tarea por cuenta del RESPONSABLE y en qué términos:
- Ubicación del tratamiento: Supabase.
Las presentes condiciones, junto con la configuración y el uso que el RESPONSABLE haga de las funcionalidades de la Aplicación, constituyen las instrucciones documentadas del RESPONSABLE a los efectos del artículo 28.3.a) del RGPD. Cualquier instrucción adicional deberá comunicarse por escrito a través de manuelcarvalho@fisi-app.com. El ENCARGADO informará inmediatamente al RESPONSABLE si, en su opinión, una instrucción infringe la normativa de protección de datos.
2. Tipo de datos personales y categoría de interesados
- Tipo de datos personales a los que tendrá acceso el ENCARGADO: Datos identificativos básicos: nombre, apellidos, teléfono, dirección, email, DNI, imagen. Datos sensibles: datos de carácter sanitarios.
- Categorías de interesados: Pacientes y profesionales sanitarios
- Operaciones de tratamiento autorizadas: consulta, registro, acceso, supresión, transmisión, cotejo.
3. Obligaciones y derechos del RESPONSABLE
El RESPONSABLE garantiza que los datos facilitados al ENCARGADO o introducidos en la Aplicación se han obtenido lícitamente, que cuenta con una base jurídica válida para su tratamiento y que son adecuados, pertinentes y limitados a los fines del tratamiento.
El RESPONSABLE pondrá a disposición del ENCARGADO cuanta información sea necesaria para ejecutar las prestaciones objeto del encargo.
El RESPONSABLE advierte al ENCARGADO de que, si determina por su cuenta los fines y los medios del tratamiento, se considerará responsable del tratamiento y estará sujeto a cumplir las disposiciones de la normativa vigente aplicables como tal.
4. Obligaciones y derechos del ENCARGADO
El ENCARGADO se obliga a respetar todas las obligaciones que pudieran corresponderle como encargado del tratamiento conforme a lo dispuesto en la normativa vigente y cualquier otra disposición o regulación que le fuera igualmente aplicable.
El ENCARGADO no destinará, aplicará o utilizará los datos a los que tenga acceso para un fin distinto al encargo o que suponga el incumplimiento de estas condiciones.
El ENCARGADO pondrá a disposición del RESPONSABLE la información necesaria para demostrar el cumplimiento de estas condiciones, permitiendo las inspecciones y auditorías necesarias para evaluar el tratamiento. Las auditorías se solicitarán por escrito con una antelación mínima de 30 días, se realizarán en horario laboral y de forma que no comprometan la seguridad ni la confidencialidad de los datos de otros clientes del ENCARGADO. El ENCARGADO podrá atender estas solicitudes, cuando resulte suficiente, mediante certificaciones o informes de auditoría independientes.
5. Personal autorizado para realizar el tratamiento
El ENCARGADO garantiza que el personal autorizado para realizar el tratamiento se ha comprometido de forma expresa y por escrito a respetar la confidencialidad de los datos o que está sujeto a una obligación de confidencialidad de naturaleza legal.
El ENCARGADO tomará medidas para garantizar que cualquier persona que actúe bajo su autoridad y tenga acceso a datos personales solo pueda tratarlos siguiendo las instrucciones del RESPONSABLE o esté obligada a ello en virtud de la legislación vigente.
El ENCARGADO garantiza que el personal autorizado para realizar el tratamiento ha recibido la formación necesaria para asegurar que no se pondrá en riesgo la protección de datos personales.
6. Medidas de seguridad
El ENCARGADO manifiesta estar al corriente en lo que concierne a las obligaciones derivadas de la normativa de protección de datos, especialmente en lo que se refiere a la implantación de las medidas de seguridad para las diferentes categorías de datos y de tratamiento establecidas en el artículo 32 del RGPD.
El ENCARGADO garantiza que se implementarán adecuadamente dichas medidas de seguridad y ayudará al RESPONSABLE a cumplir las obligaciones establecidas en los artículos del 32 al 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del ENCARGADO.
El RESPONSABLE realizará un análisis de los posibles riesgos derivados del tratamiento para determinar las medidas de seguridad apropiadas para garantizar la seguridad de la información tratada y los derechos de los interesados y, si determinara que existen riesgos, trasladará al ENCARGADO un informe con la evaluación de impacto para que proceda a la implementación de medidas adecuadas para evitarlos o mitigarlos.
El ENCARGADO, por su parte, deberá analizar los posibles riesgos y otras circunstancias que puedan incidir en la seguridad que le sean atribuibles, debiendo informar, si los hubiere, al RESPONSABLE para evaluar su impacto.
De todas formas, el ENCARGADO garantiza que, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, implementará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entrañe el tratamiento, que en su caso incluya, entre otros:
- Seudonimización y cifrado de datos personales.
- Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
- Restaurar la disponibilidad y el acceso a datos de forma rápida en caso de incidente físico o técnico.
- Procedimientos de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
7. Violación de la seguridad
Las violaciones de seguridad de que tenga conocimiento el ENCARGADO deberán notificarse sin dilación indebida al RESPONSABLE, a la dirección de correo electrónico asociada a su cuenta en la Aplicación, para su conocimiento y aplicación de medidas para remediar y mitigar los efectos ocasionados.
La notificación de una violación de seguridad deberá contener, como mínimo, la siguiente información:
- Descripción de la naturaleza de la violación.
- Categorías y el número aproximado de interesados afectados.
- Categorías y el número aproximado de registros de datos afectados.
- Posibles consecuencias.
- Medidas adoptadas o propuestas para remediar o mitigar los efectos.
- Datos de contacto donde pueda obtenerse más información (DPO, responsable de seguridad, etc.).
8. Comunicación de los datos a terceros
El ENCARGADO no podrá comunicar los datos a otros destinatarios, salvo que hubiera obtenido una autorización previa y expresa del RESPONSABLE, otorgada por escrito o a través de las funcionalidades de la Aplicación habilitadas a tal efecto, de la que quedará constancia.
La transmisión de datos a autoridades públicas en el ejercicio de sus funciones públicas no se considera comunicación de datos, por lo que no se precisará la autorización del RESPONSABLE si dichas transmisiones son necesarias para alcanzar la finalidad del encargo.
9. Transferencias internacionales de datos
Mediante la aceptación de estas condiciones, el RESPONSABLE autoriza las transferencias internacionales de datos que, en su caso, se deriven de la intervención de los subencargados del tratamiento indicados en la cláusula 10, siempre que se realicen a países u organizaciones que cuenten con una decisión de adecuación de la Comisión Europea o se amparen en alguna de las garantías adecuadas previstas en el artículo 46 del RGPD, como las cláusulas contractuales tipo. El ENCARGADO identificará en la lista de subencargados el país de destino y la garantía aplicable.
Fuera de los supuestos anteriores, el ENCARGADO no podrá realizar transferencias de datos a terceros países u organizaciones internacionales sin la autorización previa y por escrito del RESPONSABLE.
10. Subcontratación del tratamiento de datos
Mediante la aceptación de estas condiciones, el RESPONSABLE otorga al ENCARGADO una autorización general por escrito, conforme al artículo 28.2 del RGPD, para recurrir a los subencargados del tratamiento que figuran en la lista disponible en https://www.fisi-app.com/privacidad#proveedores, en la que se indica su identidad, el servicio prestado y su ubicación.
El ENCARGADO informará al RESPONSABLE de cualquier cambio previsto en la incorporación o sustitución de subencargados con una antelación mínima de 15 días, a través de la Aplicación o por correo electrónico, dándole así la oportunidad de oponerse a dichos cambios. Si el RESPONSABLE se opusiera por motivos razonables relacionados con la protección de datos y las partes no alcanzaran una solución alternativa, el RESPONSABLE podrá resolver la contratación de los servicios afectados sin penalización alguna.
El ENCARGADO impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos establecidas en estas condiciones, y seguirá siendo plenamente responsable ante el RESPONSABLE del cumplimiento de las obligaciones del subencargado.
11. Derechos de los interesados
El ENCARGADO creará, siempre que sea posible y teniendo en cuenta la naturaleza del tratamiento, las condiciones técnicas y organizativas necesarias para asistir al RESPONSABLE en su obligación de responder a las solicitudes de los derechos del interesado.
En caso de que el ENCARGADO reciba una solicitud para el ejercicio de dichos derechos, deberá comunicarlo al RESPONSABLE sin dilación indebida y en un máximo de 7 días desde la recepción de la solicitud, juntamente con otras informaciones que puedan ser relevantes para resolver la solicitud.
Cuando los datos sean tratados exclusivamente con los sistemas del ENCARGADO, deberá resolver, por cuenta del RESPONSABLE, y dentro del plazo establecido, las solicitudes recibidas para el ejercicio de los derechos del interesado en relación con los datos objeto del encargo, sin menoscabo de comunicarlo al RESPONSABLE de acuerdo con lo establecido en el párrafo anterior; a saber, los derechos de acceso, rectificación, supresión y portabilidad de datos y los de limitación u oposición al tratamiento, y si fuera el caso, a no ser objeto de decisiones individualizadas automatizadas.
12. Responsabilidad
Conforme al artículo 82 del RGPD, el RESPONSABLE responderá de los daños y perjuicios causados en cualquier operación de tratamiento en que participe y el ENCARGADO únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del RGPD dirigidas específicamente al ENCARGADO o haya actuado al margen o en contra de las instrucciones legales del RESPONSABLE. Del mismo modo, el ENCARGADO estará exento de responsabilidad si demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios.
13. Fin de la prestación de servicio
Una vez finalice la prestación de los servicios contratados a través de la Aplicación, si el ENCARGADO hubiera almacenado datos personales, o cualquier otro documento y/o soporte que se le hubiera facilitado por cualquier medio, deberá suprimirlos o devolverlos a elección del RESPONSABLE, incluidas las copias existentes. El RESPONSABLE podrá ejercer dicha elección mediante las funcionalidades de exportación de la Aplicación o comunicándolo por escrito al ENCARGADO en el plazo de 30 días desde la baja; transcurrido dicho plazo sin indicación expresa, el ENCARGADO procederá a la supresión de los datos. El ENCARGADO deberá emitir un certificado de destrucción o devolución si así lo exige el RESPONSABLE.
No procederá la supresión de datos cuando se requiera su conservación por una obligación legal, en cuyo caso el ENCARGADO procederá a la custodia de los mismos bloqueando los datos y limitando su tratamiento en tanto que pudieran derivarse responsabilidades de su relación con el RESPONSABLE.
El ENCARGADO mantendrá el deber de secreto y confidencialidad de los datos incluso después de finalizar la relación objeto de estas condiciones.
14. Modificación de las condiciones
El ENCARGADO podrá modificar las presentes condiciones cuando resulte necesario por cambios normativos, criterios de las autoridades de control, o cambios técnicos u organizativos en la prestación de los servicios. Las modificaciones se notificarán al RESPONSABLE a través de la Aplicación o por correo electrónico con una antelación mínima de 30 días a su entrada en vigor, salvo que vengan impuestas por una norma con un plazo inferior, y en ningún caso podrán reducir el nivel de protección exigido por el artículo 28 del RGPD.
Si el RESPONSABLE no estuviera conforme con las modificaciones, podrá resolver la contratación de los servicios antes de su entrada en vigor. La versión vigente de estas condiciones estará siempre disponible en la Aplicación.
15. Vigencia y prelación
Las presentes condiciones entrarán en vigor en el momento de su aceptación por el RESPONSABLE y se mantendrán vigentes mientras subsista la prestación de los servicios contratados a través de la Aplicación, sin perjuicio de las obligaciones que, por su naturaleza, deban subsistir tras su finalización.
En caso de contradicción entre estas condiciones y las Condiciones Generales de Contratación de la Aplicación en materia de protección de datos personales, prevalecerá lo dispuesto en las presentes condiciones.
Las presentes condiciones se entienden aceptadas por el RESPONSABLE en la fecha en que formalice la contratación de los servicios a través de la Aplicación, sin necesidad de firma manuscrita, quedando constancia electrónica de dicha aceptación en los sistemas del ENCARGADO.