Acuerdo de tratamiento de datos personales

El Encargado del tratamiento (en adelante, el «Encargado» o «Cibus»):

• Denominación: TP53 S.r.l.
• NIF-IVA: IT02203290388
• Domicilio social: Via Pomposa 153, 44123 Ferrara (FE), Italia
• Contacto de privacidad: privacy@cibushealth.com — cibushealth.com
• PEC (correo electrónico certificado): tp53health@pec.it
• Delegado de protección de datos: no designado (contacto de privacidad indicado arriba)

El Responsable del tratamiento (en adelante, el «Responsable»):

• Nombre y apellidos / consulta: [a completar al firmar]
• NIF-IVA / código fiscal: [...]
• Colegiación profesional: [...]
• Dirección y correo electrónico: [...]

• el Responsable utiliza la plataforma de software Cibus para gestionar su consulta de nutrición;
• al prestar el servicio, Cibus trata datos personales de los pacientes del Responsable por cuenta de este y siguiendo sus instrucciones;
• las partes desean regular dicho tratamiento conforme al artículo 28 del RGPD;

las partes acuerdan lo siguiente.

• Interesado: el paciente del Responsable (incluidos los menores).
• Responsable del tratamiento: el nutricionista, que determina los fines y medios del tratamiento y responde ante sus pacientes.
• Encargado del tratamiento: Cibus (TP53 S.r.l.), que trata los datos por cuenta del Responsable y siguiendo sus instrucciones.
• Subencargados: los proveedores que Cibus utiliza para prestar el servicio (véase el Anexo B).

• Objeto: prestación del software Cibus para gestionar la consulta de nutrición.
• Naturaleza de las operaciones: alojamiento, almacenamiento, organización, consulta, generación de documentos, comunicación, asistencia mediante inteligencia artificial y transcripción de voz.
• Finalidad: permitir al Responsable gestionar a sus pacientes: datos personales, historia clínica, mediciones corporales, planes nutricionales, citas, facturación, documentos, mensajes e informes de consulta.
• Duración: durante toda la vigencia del contrato de servicio (cuenta activa), además del periodo de conservación legal posterior a su terminación (véase el art. 9).

Datos identificativos y de contacto:

nombre, apellidos, correo electrónico, teléfono, dirección, ciudad, fecha de nacimiento, género y profesión.

Datos relativos a la salud (categoría especial — art. 9 RGPD):

• Historia clínica y antecedentes médicos, patologías, alergias e intolerancias
• Pruebas clínicas (colesterol total/HDL/LDL, triglicéridos, presión arterial)
• Mediciones corporales (peso, altura, porcentaje de grasa corporal, masa muscular, perímetros y pliegues cutáneos)
• Embarazos, hábitos alimentarios, objetivos, planes nutricionales y regímenes dietéticos

Otros datos:

citas, notas de consulta, datos de facturación/fiscales, credenciales de acceso, dirección IP y agente de usuario (registros de auditoría).

• Pacientes del Responsable, incluidos menores (con datos de su progenitor/tutor). Cuando sea aplicable, corresponde al Responsable obtener el consentimiento parental previsto en el art. 8 RGPD.
• En su caso, contactos y posibles clientes del Responsable.

Cibus se compromete a:

1. tratar los datos únicamente conforme a las instrucciones documentadas del Responsable, salvo obligación legal;
2. garantizar que las personas autorizadas para tratar los datos estén sujetas a una obligación de confidencialidad;
3. adoptar las medidas de seguridad previstas en el art. 32 RGPD (véase el Anexo A);
4. respetar las condiciones para recurrir a subencargados (art. 6 del presente acuerdo);
5. ayudar al Responsable a atender las solicitudes de los interesados (arts. 12-23): la plataforma permite exportar íntegramente los datos, rectificarlos y suprimirlos;
6. ayudar al Responsable a cumplir las obligaciones de seguridad, notificación de violaciones y evaluación de impacto (arts. 32-36);
7. a elección del Responsable, suprimir o devolver los datos al finalizar el contrato (véase el art. 9);
8. facilitar al Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías/inspecciones (véase el art. 10).

• El Responsable autoriza con carácter general el recurso a los subencargados incluidos en el Anexo B.
• Cibus informará al Responsable de cualquier cambio (incorporación o sustitución de un subencargado) y le concederá un plazo razonable para formular objeciones.
• Cibus impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este acuerdo y seguirá siendo plenamente responsable ante el Responsable de las actuaciones de sus subencargados.

• La infraestructura principal (procesamiento, base de datos, generación de documentos, almacenamiento y copias de seguridad) está ubicada en la Unión Europea (véase el Anexo B).
• Algunos subencargados tienen su sede en Estados Unidos. Estas transferencias se rigen por las cláusulas contractuales tipo (SCC) adoptadas por la Comisión Europea y/o por los DPA de los proveedores correspondientes, que Cibus se compromete a mantener vigentes.

Cibus notificará al Responsable cualquier violación de datos personales de la que tenga conocimiento sin dilación indebida y, en todo caso, en un plazo máximo de 72 horas, indicando la naturaleza de la violación, las categorías y el número aproximado de interesados y datos afectados, las posibles consecuencias y las medidas adoptadas o propuestas.

• Durante el contrato: los datos de los pacientes se conservan sin supresión automática; el Responsable gestiona el ciclo de vida de los datos de sus pacientes.
• Al finalizar el contrato: el Responsable dispone de un plazo de 90 días para exportar los datos. Transcurrido dicho plazo, Cibus suprimirá los datos identificables, salvo obligación legal:

• Datos fiscales/facturas: 10 años (art. 2220 del Código Civil italiano)
• Registros de auditoría: 12-24 meses
• Copias de seguridad: supresión en un plazo de 7 días (rotación automática)

Cibus podrá conservar datos anonimizados y agregados que no permitan identificar a personas y, por tanto, queden fuera del ámbito del RGPD.

• Cibus seguirá siendo plenamente responsable ante el Responsable por el incumplimiento de las obligaciones de protección de datos por parte de sus subencargados (art. 28, apdo. 4).
• El Responsable tiene derecho a auditar: Cibus facilitará la información necesaria para demostrar el cumplimiento de este acuerdo y del art. 28 RGPD.

• Legislación aplicable: legislación italiana.
• Jurisdicción competente: Tribunal de Ferrara (domicilio social de TP53 S.r.l.).

El presente acuerdo surtirá efecto desde la fecha de firma y durante toda la vigencia del contrato de servicio. Las obligaciones de confidencialidad, devolución/supresión de datos y responsabilidad seguirán vigentes tras la terminación del contrato.

La firma del contrato de servicio de Cibus —también mediante aceptación digital en la plataforma contractual— equivale a la aceptación plena del presente DPA conforme al art. 28 RGPD.

• Cifrado en tránsito: TLS/HTTPS en todas las conexiones.
• Cifrado en reposo: proporcionado por los proveedores de infraestructura (base de datos Neon; almacenamiento de archivos Vercel Blob).
• Contraseñas: hash bcrypt (factor de coste 10); nunca se almacenan en texto claro.
• Credenciales fiscales (Sistema Tessera Sanitaria): cifradas en la aplicación con AES-256-GCM.
• Autenticación y accesos: gestión segura de sesiones; control de acceso basado en roles (nutricionista, secretaría, asesor fiscal, paciente, administrador) y aislamiento multiinquilino: cada nutricionista accede exclusivamente a sus pacientes.
• Exportaciones de datos: se ofrecen mediante enlaces autenticados, de duración limitada y de un solo uso; el archivo no permanece en un repositorio público.
• Registro de auditoría: seguimiento de accesos, creación/modificación/supresión de pacientes y exportaciones, con dirección IP y agente de usuario.
• Copias de seguridad: copia completa periódica en Cloudflare R2 (UE — Europa Occidental), conservada durante 7 días.
• Ubicación del tratamiento: funciones de la aplicación y base de datos en la UE (Fráncfort); generación de PDF en la UE (Ámsterdam).

Nota de transparencia: los datos de salud no se cifran campo por campo en la aplicación; el cifrado en reposo es el proporcionado por los proveedores de infraestructura. No se declara cifrado de extremo a extremo.

Nota sobre Anthropic: antes de transmitir el contenido enviado a la IA, se ocultan los datos que identifican directamente a los pacientes. Anthropic no utiliza los datos recibidos mediante API para entrenar sus modelos.

Nota sobre Aspose Cloud: servicio opcional. Si no se utiliza, la conversión DOCX→PDF se realiza mediante LibreOffice/Gotenberg en la UE (Ámsterdam), sin transferencia.

Nota sobre proveedores de pagos: Stripe, GoCardless y PayPal actúan como responsables independientes del tratamiento de los datos necesarios para procesar pagos y cumplir las obligaciones contra el blanqueo de capitales, conforme a sus respectivas políticas. Tratan datos de facturación del Responsable, no datos clínicos de pacientes.

Servicios NO utilizados en producción y, por tanto, no incluidos: Supabase, Upstash.