Anexo de tratamiento de datos de salud

Contrato de encargado del tratamiento (art. 28 RGPD) · Versión 2.4 · 07/11/2026

Este es el contrato que PAPERORNOT, S.L. ofrece a cada usuario investigador. Forma parte de los Términos que aceptas al crear la cuenta y, además, se acepta de forma expresa antes de que la aplicación admita el primer fichero de datos de investigación para su análisis estadístico: la aceptación se registra con su texto íntegro, su versión y su fecha, en un registro con cadena de hashes verificable. Sin ella, esa subida se rechaza.

1 · Partes y roles

El Cliente es el Responsable del tratamiento de los datos de investigación que se introducen, y declara ser quien determina las finalidades y los medios de su proyecto. El Cliente puede ser:

• Cliente individual — el profesional sanitario o investigador titular de la cuenta, con el plan Essential; o
• Cliente institucional — una persona jurídica (hospital, fundación de investigación, universidad, servicio de salud o empresa) con un plan de Equipos o Institución, que habilita asientos para las personas de su organización.

1.1 · Quién firma cuando el Cliente es una institución

Cuando el Cliente es una persona jurídica, este anexo lo acepta una persona física con poder suficiente para obligar a la entidad, y al aceptarlo declara que actúa en su nombre con facultades bastantes, que la entidad —y no ella a título personal— asume la condición de Responsable, y que está autorizada a impartir las instrucciones de la cláusula 3. Si quien acepta carece de ese poder, la aceptación no vincula a la entidad. El Encargado no verifica poderes: se apoya en esta declaración.

1.2 · Quién es Responsable de qué, dentro de una organización

Vincular un proyecto es un acto explícito de su autor, nunca automático: pertenecer a una organización no arrastra ningún proyecto. Ese acto es lo que traslada la condición de Responsable a la entidad, y queda registrado en la cronología del proyecto con fecha y autor. No se configura una corresponsabilidad del art. 26: en cada proyecto hay un solo Responsable.

1.3 · Obligaciones de la institución

El Cliente institucional se obliga a:

1. Mantener el registro de personas autorizadas. Los asientos que habilita son ese registro (arts. 29 y 32.4 RGPD): cada miembro activo es una persona autorizada a tratar datos bajo su autoridad.
2. Trasladarles el deber de confidencialidad, con vigencia posterior al fin de la relación.
3. Revocar el acceso sin demora cuando alguien deje la organización. Retirar su asiento basta; el acceso de administración a un proyecto se extingue automáticamente cuando su autor deja de ser miembro.
4. Contar con base jurídica para los datos que sus personas introduzcan, y con el dictamen del comité de ética cuando proceda.
5. Designar un punto de contacto para las comunicaciones de este anexo, incluidas las notificaciones de violaciones de seguridad.

1.4 · Lo que una organización puede ver, y lo que no

• Un administrador puede abrir los proyectos vinculados, con capacidad de lectura y escritura, y cada acceso queda registrado en la cronología del proyecto, visible para su autor.
• No puede abrir los proyectos personales de un miembro, ni los de un antiguo miembro.
• Cualquier miembro ve, de los proyectos vinculados, los metadatos de gestión (título, fase, fechas, estado, actividad y recuentos de tareas y avisos), no su contenido.
• La organización no recibe copia ni control de la cuenta personal de sus miembros.

La institución se obliga a informar de todo lo anterior a las personas a las que habilite un asiento, antes de que lo utilicen.

PAPERORNOT, S.L. es el Encargado del tratamiento de esos datos, y trata únicamente los que el Cliente introduce, siguiendo sus instrucciones.

Son dos relaciones distintas y conviene no confundirlas: respecto de los datos de la cuenta (correo, contraseña, plan, consumo), PaperORnot actúa como Responsable, y eso se rige por la Política de privacidad, no por este anexo. Aquí se cubren solo los datos de investigación.

2 · Objeto, duración y finalidad

Objeto: asistencia a la investigación clínica —redacción metodológica y ejecución de análisis estadístico— sobre los datos que el Cliente aporta. Duración: mientras la cuenta esté activa. Tipo de datos: datos de investigación seudonimizados o anonimizados, de categoría especial (art. 9) cuando son datos relativos a la salud; los documentos que el Cliente aporta como material propio (memoria, resultados, bibliografía, manuscrito), de los que el servidor oculta los identificadores directos antes de guardarlos; y los datos de identificación y contacto profesional de las personas que intervienen en el estudio (nombre, cargo, servicio, centro, correo y teléfono profesionales, ORCID), que el Cliente escribe en la ficha administrativa del proyecto para preparar su documentación. La aplicación no pide su documento de identidad ni su firma: quedan en blanco en cada documento. Interesados: los sujetos incluidos en el proyecto del Cliente, y las personas que intervienen en el estudio (equipo investigador, jefatura del servicio, dirección del centro, tutor o director de un trabajo académico).

Prohibición expresa: el Cliente no debe introducir datos de pacientes identificados. La aplicación rechaza los ficheros que contienen identificadores directos, pero la obligación es del Cliente.

3 · Instrucciones del Responsable

El Encargado trata los datos solo conforme a las instrucciones documentadas del Cliente: este anexo, los Términos del servicio y las acciones que el propio Cliente ejecuta en la aplicación —cada análisis y cada generación de texto es una instrucción.

El Encargado no usa los datos para ninguna finalidad propia. En particular: no entrena ni ajusta modelos de inteligencia artificial con los datos del Cliente, ni propios ni de terceros, ni los cede a terceros fuera de los subencargados del apartado 6. Si entendiera que una instrucción infringe la normativa, lo informará sin dilación y podrá suspender su ejecución.

4 · Confidencialidad

Toda persona autorizada a tratar los datos está sujeta a deber de confidencialidad. Con transparencia: a fecha de esta versión, PAPERORNOT, S.L. es una entidad de una sola persona y el acceso administrativo está limitado a su representante legal, profesional sanitario sujeto además a secreto profesional. Cualquier incorporación de personal con acceso quedará sujeta a compromiso escrito de confidencialidad y se comunicará conforme al apartado 6.

5 · Medidas de seguridad

Estas medidas están implementadas, no proyectadas:

• El conjunto de datos no sale del ordenador del Cliente. El fichero de datos de investigación se lee, se des-identifica y se analiza en el navegador del Cliente; el Encargado no lo recibe, no lo almacena y no lo transmite. A los servidores del Encargado solo llegan resultados agregados (recuentos, estadísticos, tablas y figuras calculadas, nombres de columna y la huella criptográfica del fichero), que se tratan como datos derivados del estudio.
• Frontera de datos ante la IA, en dos capas. Ninguna estructura con filas puede enviarse al modelo, y además cada salida del análisis se contrasta, en el propio navegador y antes de salir de él, con los valores reales del conjunto de datos, y lo que reproduce registros individuales se retira.
• Ejecución aislada. El código de análisis se ejecuta en el navegador del Cliente, en un proceso separado (Web Worker) sin acceso a la red ni al almacenamiento persistente del navegador, sin las credenciales de la sesión y con tiempo acotado; una barrera de red adicional del propio navegador impide que cualquier petición distinta de los ficheros del motor salga de él. Lo que produce la ejecución pasa por la frontera de datos antes de salir del ordenador, en un formato que no puede ejecutar código.
• Supresión de celdas pequeñas. Las categorías con menos de cinco sujetos viajan al modelo sin su etiqueta: se conserva el agregado, no la identidad.
• Detección de identificadores. Un fichero con identificadores directos (nombre, documento de identidad, número de historia clínica o de tarjeta sanitaria, contacto, fecha de nacimiento…) se rechaza por el nombre de sus columnas o por la forma de sus valores; no se limpia en silencio. Los identificadores de fila, los cuasi-identificadores de localización (cama, planta, código postal) y cualquier columna con un código único por sujeto se retiran antes del análisis y se te comunican.
• Residencia mínima. El conjunto de datos solo existe en la memoria de la pestaña del navegador mientras se analiza: no se guarda en el navegador ni en los servidores del Encargado, y desaparece al cerrar la pestaña. Las llamadas en curso entre el navegador y el motor se cifran en reposo y se borran al completarse.
• Inferencia soberana. Toda la inferencia ocurre en la UE, y la aplicación se niega a arrancar en producción con un proveedor no europeo.
• Cifrado en tránsito, y en reposo de las figuras guardadas, los PDF de la biblioteca, las llamadas en curso del motor de análisis y las subidas en cola.
• Control de acceso y registro de eventos de seguridad, conservados 90 días.
• Evidencia inalterable. Las aceptaciones se guardan con encadenamiento de hashes: una modificación posterior del registro es detectable.
• Purga automática de los datos que han cumplido su finalidad.

Y lo que estas medidas no son: ninguna sustituye a tu obligación (cláusulas 2 y 3) de aportar datos seudonimizados o anonimizados —la detección de identificadores es una red de seguridad para lo que se haya colado, no una anonimización—, y el aislamiento de la ejecución es defensa en profundidad, no una garantía absoluta. Se dice aquí porque un anexo que exagera sus medidas es peor que uno que las describe con exactitud.

6 · Subencargados

El Cliente autoriza al Encargado a recurrir a los siguientes subencargados, y solo a ellos, para el tratamiento de datos de investigación:

• Scalingo SAS — alojamiento de la aplicación y base de datos. Francia (UE). Certificado HDS (Hébergeur de Données de Santé) e ISO 27001, con contrato de encargado y anexo de datos de salud suscritos. Puede acceder a los datos almacenados del proyecto.
• Scaleway SAS — inferencia de modelos de lenguaje. Francia (UE), región fr-par. Política de cero retención por defecto y sin entrenamiento con los datos. Recibe agregados, nombres de columna, hasta cuatro valores sueltos de cada columna de texto (muestreados por separado en cada columna, de modo que no reconstruyen ninguna fila) y el contenido del proyecto que el Cliente pide redactar, incluidos los documentos que aporta como material propio: ninguna fila de pacientes.

Esta lista es completa. Ningún otro proveedor accede a datos de investigación. Los servicios de correo y de pago que utiliza PaperORnot tratan exclusivamente el correo electrónico y el identificador de pago del Cliente —datos de la cuenta, no del proyecto— y por eso no figuran aquí.

Cambios. El Encargado informará con al menos 30 días de antelación de cualquier incorporación o sustitución, indicando función, ubicación y garantías. El Cliente podrá oponerse motivadamente en ese plazo; si la oposición no puede resolverse, podrá resolver el contrato sin penalización y con devolución de la parte no consumida. El Encargado responde del cumplimiento de sus subencargados en los mismos términos que le son exigibles a él.

7 · Transferencias internacionales

No se realizan transferencias de datos de investigación fuera del Espacio Económico Europeo. Todo el almacenamiento y toda la inferencia ocurren en la Unión Europea.

8 · Derechos de los interesados

Los derechos de los pacientes incluidos en el proyecto se ejercen ante el Cliente, que es su Responsable. El Encargado le asistirá para atenderlos en un plazo máximo de 10 días hábiles: localización de los datos, exportación en formato estructurado, rectificación o supresión de lo que el Cliente indique, y certificación escrita de la supresión si la solicita.

Si un interesado se dirigiera directamente al Encargado, este no atenderá la solicitud por su cuenta: la remitirá al Cliente sin dilación.

9 · Violaciones de seguridad

El Encargado notificará al Cliente sin dilación indebida y en un plazo máximo de 24 horas desde que tenga conocimiento de una violación que afecte a sus datos, con la naturaleza del incidente, las categorías y el volumen aproximado afectados, y las medidas adoptadas y propuestas. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al Cliente; el Encargado le prestará toda la asistencia razonable.

10 · Auditoría

El Cliente puede verificar el cumplimiento de este anexo. El Encargado:

• pondrá a su disposición la documentación acreditativa: evaluación de impacto, registro de actividades, política de retención, certificados de los subencargados y resultados de las verificaciones periódicas de evidencia;
• responderá a cuestionarios de seguridad razonables en 30 días;
• permitirá una auditoría al año, con solicitud escrita 30 días antes, realizada por el Cliente o por un auditor independiente aceptado por ambas partes, sujeta a confidencialidad. El coste del auditor corre a cargo del Cliente, salvo que la auditoría revele un incumplimiento sustancial.

11 · Devolución y supresión al finalizar

El Cliente puede exportar todos sus datos en formato estructurado en cualquier momento y sin solicitarlo, desde su cuenta. La eliminación de la cuenta borra en cascada proyectos, documentos y datos asociados, y el Encargado certificará la supresión por escrito si se le pide. La supresión es inmediata en el sistema activo; las copias de seguridad se sobrescriben en un plazo máximo de 30 días.

Excepción, declarada expresamente: se conservan las atestaciones firmadas (aceptación de este anexo, declaraciones de base legal) y los asientos de facturación, por ser evidencia de cumplimiento y obligación contable. No contienen datos de pacientes.

12 · Responsabilidad

El Encargado responde de los daños causados por un tratamiento que infrinja este anexo o las instrucciones del Cliente, en los términos del art. 82 RGPD.

El Cliente es responsable de: la licitud del tratamiento y su base jurídica, el dictamen del comité de ética cuando proceda, la correcta anonimización o seudonimización de los datos que introduce, y la verificación científica de todo resultado o texto antes de utilizarlo, publicarlo o remitirlo. Esta última obligación no puede delegarse en la herramienta.

13 · Ley aplicable

Derecho español y RGPD. Para cualquier controversia serán competentes los juzgados y tribunales del domicilio del Encargado, salvo que la normativa de consumo aplicable determine otro fuero. Cuando el Cliente sea una persona jurídica, y por tanto no le sea aplicable la normativa de consumo, las partes se someten expresamente a los juzgados y tribunales del domicilio del Encargado.

Anexo I · Descripción del tratamiento

El art. 28.3 RGPD exige que esta descripción conste en el contrato, así que aquí está y no en un documento aparte.

Cómo se acredita tu aceptación

Queda registrada con tu identificador de usuario, la fecha y hora, la versión del texto, el texto íntegro aceptado y el encadenamiento de hashes que hace detectable cualquier modificación posterior del registro. Puedes solicitar la verificación de esa cadena en cualquier momento.