Anexo de tratamiento de datos de salud

Contrato de encargado del tratamiento (art. 28 RGPD) · Versión 1.0 · 25/07/2026

Este es el contrato que PAPERORNOT, S.L.U. ofrece a cada usuario investigador. Se acepta antes de que la aplicación admita ningún dato de investigación: la aceptación se registra con su texto íntegro, su versión y su fecha, en un registro con cadena de hashes verificable. Sin ella, la subida de datos se rechaza.

1 · Partes y roles

El Cliente es el Responsable del tratamiento de los datos de investigación que se introducen, y declara ser quien determina las finalidades y los medios de su proyecto. El Cliente puede ser:

• Cliente individual — el profesional sanitario o investigador titular de la cuenta, con un plan Essential o Pro; o
• Cliente institucional — una persona jurídica (hospital, fundación de investigación, universidad, servicio de salud o empresa) con un plan de Equipos o Institución, que habilita asientos para las personas de su organización.

1.1 · Quién firma cuando el Cliente es una institución

Cuando el Cliente es una persona jurídica, este anexo lo acepta una persona física con poder suficiente para obligar a la entidad, y al aceptarlo declara que actúa en su nombre con facultades bastantes, que la entidad —y no ella a título personal— asume la condición de Responsable, y que está autorizada a impartir las instrucciones de la cláusula 3. Si quien acepta carece de ese poder, la aceptación no vincula a la entidad. El Encargado no verifica poderes: se apoya en esta declaración.

1.2 · Quién es Responsable de qué, dentro de una organización

Vincular un proyecto es un acto explícito de su autor, nunca automático: pertenecer a una organización no arrastra ningún proyecto. Ese acto es lo que traslada la condición de Responsable a la entidad, y queda registrado en la cronología del proyecto con fecha y autor. No se configura una corresponsabilidad del art. 26: en cada proyecto hay un solo Responsable.

1.3 · Obligaciones de la institución

El Cliente institucional se obliga a:

1. Mantener el registro de personas autorizadas. Los asientos que habilita son ese registro (arts. 29 y 32.4 RGPD): cada miembro activo es una persona autorizada a tratar datos bajo su autoridad.
2. Trasladarles el deber de confidencialidad, con vigencia posterior al fin de la relación.
3. Revocar el acceso sin demora cuando alguien deje la organización. Retirar su asiento basta; el acceso de administración a un proyecto se extingue automáticamente cuando su autor deja de ser miembro.
4. Contar con base jurídica para los datos que sus personas introduzcan, y con el dictamen del comité de ética cuando proceda.
5. Designar un punto de contacto para las comunicaciones de este anexo, incluidas las notificaciones de violaciones de seguridad.

1.4 · Lo que una organización puede ver, y lo que no

• Un administrador puede abrir los proyectos vinculados, con capacidad de lectura y escritura, y cada acceso queda registrado en la cronología del proyecto, visible para su autor.
• No puede abrir los proyectos personales de un miembro, ni los de un antiguo miembro.
• Cualquier miembro ve, de los proyectos vinculados, los metadatos de gestión (título, fase, fechas, estado, actividad y recuentos de tareas y avisos), no su contenido.
• La organización no recibe copia ni control de la cuenta personal de sus miembros.

La institución se obliga a informar de todo lo anterior a las personas a las que habilite un asiento, antes de que lo utilicen.

PAPERORNOT, S.L.U. es el Encargado del tratamiento de esos datos, y trata únicamente los que el Cliente introduce, siguiendo sus instrucciones.

Son dos relaciones distintas y conviene no confundirlas: respecto de los datos de la cuenta (correo, contraseña, plan, consumo), PaperORnot actúa como Responsable, y eso se rige por la Política de privacidad, no por este anexo. Aquí se cubren solo los datos de investigación.

2 · Objeto, duración y finalidad

Objeto: asistencia a la investigación clínica —redacción metodológica y ejecución de análisis estadístico— sobre los datos que el Cliente aporta. Duración: mientras la cuenta esté activa. Tipo de datos: datos de investigación seudonimizados o anonimizados, de categoría especial (art. 9) cuando son datos relativos a la salud. Interesados: los sujetos incluidos en el proyecto del Cliente.

Prohibición expresa: el Cliente no debe introducir datos de pacientes identificados. La aplicación rechaza los ficheros que contienen identificadores directos, pero la obligación es del Cliente.

3 · Instrucciones del Responsable

El Encargado trata los datos solo conforme a las instrucciones documentadas del Cliente: este anexo, los Términos del servicio y las acciones que el propio Cliente ejecuta en la aplicación —cada análisis y cada generación de texto es una instrucción.

El Encargado no usa los datos para ninguna finalidad propia. En particular: no entrena ni ajusta modelos de inteligencia artificial con los datos del Cliente, ni propios ni de terceros, ni los cede a terceros fuera de los subencargados del apartado 6. Si entendiera que una instrucción infringe la normativa, lo informará sin dilación y podrá suspender su ejecución.

4 · Confidencialidad

Toda persona autorizada a tratar los datos está sujeta a deber de confidencialidad. Con transparencia: a fecha de esta versión, PAPERORNOT, S.L.U. es una entidad de una sola persona y el acceso administrativo está limitado a su representante legal, profesional sanitario sujeto además a secreto profesional. Cualquier incorporación de personal con acceso quedará sujeta a compromiso escrito de confidencialidad y se comunicará conforme al apartado 6.

5 · Medidas de seguridad

Estas medidas están implementadas, no proyectadas:

• Frontera de datos ante la IA, en dos capas. Ninguna estructura con filas puede enviarse al modelo, y además en cada llamada se comprueba que el texto de salida no reproduce registros individuales, contrastándolo con los valores reales del conjunto de datos.
• Ejecución aislada. El análisis se ejecuta en un proceso separado, sin red, sin acceso a los secretos del servidor y con tiempo máximo.
• Supresión de celdas pequeñas. Las categorías con menos de cinco sujetos viajan al modelo sin su etiqueta: se conserva el agregado, no la identidad.
• Rechazo de identificadores directos. Un fichero que los contiene se rechaza; no se limpia en silencio.
• Residencia mínima. El conjunto de datos no se persiste y expira en una hora entre usos.
• Inferencia soberana. Toda la inferencia ocurre en la UE, y la aplicación se niega a arrancar en producción con un proveedor no europeo.
• Cifrado en tránsito, y de las credenciales de terceros en reposo.
• Control de acceso y registro de eventos de seguridad, conservados 90 días.
• Evidencia inalterable. Las aceptaciones se guardan con encadenamiento de hashes: una modificación posterior del registro es detectable.
• Purga automática de los datos que han cumplido su finalidad.

Y lo que estas medidas no son: el aislamiento de la ejecución es defensa en profundidad, no una cárcel. Se dice aquí porque un anexo que exagera sus medidas es peor que uno que las describe con exactitud.

6 · Subencargados

El Cliente autoriza al Encargado a recurrir a los siguientes subencargados, y solo a ellos, para el tratamiento de datos de investigación:

• Scalingo SAS — alojamiento de la aplicación y base de datos. Francia (UE). Certificado HDS (Hébergeur de Données de Santé) e ISO 27001, con contrato de encargado y anexo de datos de salud suscritos. Puede acceder a los datos almacenados del proyecto.
• Scaleway SAS — inferencia de modelos de lenguaje. Francia (UE), región fr-par. Política de cero retención por defecto y sin entrenamiento con los datos. Recibe agregados, nombres de columna y la narrativa del análisis: ningún registro individual.

Esta lista es completa. Ningún otro proveedor accede a datos de investigación. Los servicios de correo y de pago que utiliza PaperORnot tratan exclusivamente el correo electrónico y el identificador de pago del Cliente —datos de la cuenta, no del proyecto— y por eso no figuran aquí.

Cambios. El Encargado informará con al menos 30 días de antelación de cualquier incorporación o sustitución, indicando función, ubicación y garantías. El Cliente podrá oponerse motivadamente en ese plazo; si la oposición no puede resolverse, podrá resolver el contrato sin penalización y con devolución de la parte no consumida. El Encargado responde del cumplimiento de sus subencargados en los mismos términos que le son exigibles a él.

7 · Transferencias internacionales

No se realizan transferencias de datos de investigación fuera del Espacio Económico Europeo. Todo el almacenamiento y toda la inferencia ocurren en la Unión Europea.

8 · Derechos de los interesados

Los derechos de los pacientes incluidos en el proyecto se ejercen ante el Cliente, que es su Responsable. El Encargado le asistirá para atenderlos en un plazo máximo de 10 días hábiles: localización de los datos, exportación en formato estructurado, rectificación o supresión de lo que el Cliente indique, y certificación escrita de la supresión si la solicita.

Si un interesado se dirigiera directamente al Encargado, este no atenderá la solicitud por su cuenta: la remitirá al Cliente sin dilación.

9 · Violaciones de seguridad

El Encargado notificará al Cliente sin dilación indebida y en un plazo máximo de 24 horas desde que tenga conocimiento de una violación que afecte a sus datos, con la naturaleza del incidente, las categorías y el volumen aproximado afectados, y las medidas adoptadas y propuestas. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al Cliente; el Encargado le prestará toda la asistencia razonable.

10 · Auditoría

El Cliente puede verificar el cumplimiento de este anexo. El Encargado:

• pondrá a su disposición la documentación acreditativa: evaluación de impacto, registro de actividades, política de retención, certificados de los subencargados y resultados de las verificaciones periódicas de evidencia;
• responderá a cuestionarios de seguridad razonables en 30 días;
• permitirá una auditoría al año, con solicitud escrita 30 días antes, realizada por el Cliente o por un auditor independiente aceptado por ambas partes, sujeta a confidencialidad. El coste del auditor corre a cargo del Cliente, salvo que la auditoría revele un incumplimiento sustancial.

11 · Devolución y supresión al finalizar

El Cliente puede exportar todos sus datos en formato estructurado en cualquier momento y sin solicitarlo, desde su cuenta. La eliminación de la cuenta borra en cascada proyectos, documentos y datos asociados, y el Encargado certificará la supresión por escrito si se le pide. La supresión es inmediata en el sistema activo; las copias de seguridad se sobrescriben en un plazo máximo de 30 días.

Excepción, declarada expresamente: se conservan las atestaciones firmadas (aceptación de este anexo, declaraciones de base legal) y los asientos de facturación, por ser evidencia de cumplimiento y obligación contable. No contienen datos de pacientes.

12 · Responsabilidad

El Encargado responde de los daños causados por un tratamiento que infrinja este anexo o las instrucciones del Cliente, en los términos del art. 82 RGPD.

El Cliente es responsable de: la licitud del tratamiento y su base jurídica, el dictamen del comité de ética cuando proceda, la correcta anonimización o seudonimización de los datos que introduce, y la verificación científica de todo resultado o texto antes de utilizarlo, publicarlo o remitirlo. Esta última obligación no puede delegarse en la herramienta.

13 · Ley aplicable

Derecho español y RGPD. Para cualquier controversia serán competentes los juzgados y tribunales del domicilio del Encargado, salvo que la normativa de consumo aplicable determine otro fuero. Cuando el Cliente sea una persona jurídica, y por tanto no le sea aplicable la normativa de consumo, las partes se someten expresamente a los juzgados y tribunales del domicilio del Encargado.

Anexo I · Descripción del tratamiento

El art. 28.3 RGPD exige que esta descripción conste en el contrato, así que aquí está y no en un documento aparte.

Sobre los datos de pacientes reales: la postura de seguridad que el Encargado exige para admitirlos incluye el aislamiento del motor de análisis a nivel de sistema operativo. Mientras esa medida no esté desplegada, el Cliente solo debe introducir datos sintéticos o plenamente anonimizados, y así se le indica en la propia aplicación.

Cómo se acredita tu aceptación

Queda registrada con tu identificador de usuario, la fecha y hora, la versión del texto, el texto íntegro aceptado y el encadenamiento de hashes que hace detectable cualquier modificación posterior del registro. Puedes solicitar la verificación de esa cadena en cualquier momento.