Anexo de Encargo del Tratamiento de Datos Personales
Documento redactado a partir del funcionamiento real de la plataforma. Debe ser revisado por un abogado habilitado en Ecuador antes de publicarse.
La Ley Orgánica de Protección de Datos Personales exige que, cuando alguien trata datos personales por cuenta de otro, esa relación conste en un acto jurídico escrito que defina el alcance del encargo. Este Anexo cumple esa exigencia entre usted, profesional de la nutrición (responsable del tratamiento) y Nativa Health (encargado del tratamiento).
Forma parte integrante de los Términos y Condiciones y se entiende aceptado al crear una cuenta y registrar el primer paciente.
1. Partes
| Responsable del tratamiento | Encargado del tratamiento | |
|---|---|---|
| Quién es | El profesional de la nutrición titular de la cuenta | [RAZÓN SOCIAL], bajo la marca Nativa Health |
| Qué decide | Qué datos de sus pacientes se tratan, para qué y durante cuánto tiempo | Nada por cuenta propia. Solo ejecuta instrucciones del responsable. |
| Ante quién responde | Ante sus pacientes y ante la Superintendencia | Ante el responsable, y ante la autoridad por sus propias obligaciones como encargado |
2. Objeto y alcance del encargo
El responsable encarga a Nativa Health el tratamiento de los datos personales de sus pacientes, con el único fin de prestarle los servicios descritos en los Términos y Condiciones.
Nativa Health se obliga a tratar esos datos exclusivamente conforme a las instrucciones documentadas del responsable, entendiéndose como tales las que se derivan del uso normal de las funcionalidades de la Plataforma y las que el responsable comunique por escrito.
Nativa Health no utilizará los datos de pacientes para fines propios, no los cederá a terceros distintos de los subencargados autorizados, no los venderá y no los empleará para elaborar perfiles comerciales ni para entrenar sistemas de inteligencia artificial.
Si Nativa Health considera que una instrucción del responsable infringe la normativa de protección de datos, se lo comunicará sin dilación y podrá suspender su ejecución.
3. Detalle del tratamiento
| Naturaleza | Recolección, registro, estructuración, conservación, consulta, cálculo, modificación, transmisión al Portal del Paciente y supresión. |
|---|---|
| Finalidad | Soporte informático a la atención nutricional: historia clínica, cálculo de requerimientos, generación de planes alimentarios, agenda de citas, videoconsulta y portal de seguimiento del paciente. |
| Duración | Mientras la cuenta del responsable esté activa, más el plazo de recuperación previsto en la sección 12. |
| Categorías de titulares | Pacientes del responsable, incluidos menores de edad representados por sus padres o representantes legales. |
| Datos identificativos | Nombre, correo electrónico, PIN de acceso al portal, identificador interno de paciente. |
| Datos sensibles de salud | Edad, sexo, peso, talla, mediciones antropométricas e informes ISAK, diagnósticos y patologías, alergias e intolerancias, medicación relevante, resultados de laboratorio registrados por el responsable. |
| Datos nutricionales y deportivos | Requerimientos energéticos, distribución de macronutrientes, planes alimentarios, fórmulas de soporte enteral, fase y carga de entrenamiento. |
| Datos aportados por el paciente | Hidratación, estado de ánimo, actividad física, adherencia y fotografías de productos alimenticios. |
| Datos de agenda | Fecha y hora de citas, modalidad presencial o en línea, identificador de sala de videoconsulta. |
4. Obligaciones del responsable
El profesional, como responsable, se obliga a:
- Obtener el consentimiento explícito e informado de cada paciente —o de su representante legal— antes de registrar sus datos de salud, y conservar constancia escrita de ello.
- Informar a sus pacientes de la existencia de este encargo, de la identidad de Nativa Health como encargado y de las transferencias internacionales descritas en la sección 10.
- Garantizar la licitud del tratamiento que encarga, así como la exactitud y pertinencia de los datos que introduce.
- Atender las solicitudes de derechos de sus pacientes, como titular de la relación clínica.
- Usar la Plataforma de forma segura: credenciales personales, dispositivos con bloqueo, cierre de sesión en equipos ajenos y sincronización activa.
- Determinar el plazo de conservación de las historias clínicas conforme a la normativa sanitaria que le aplique, y comunicar a Nativa Health las supresiones que deban ejecutarse.
- Notificar a Nativa Health cualquier incidente de seguridad del que tenga conocimiento y que pueda afectar los datos alojados en la Plataforma.
5. Obligaciones del encargado
Nativa Health se obliga a:
- Tratar los datos únicamente conforme a las instrucciones del responsable.
- Guardar confidencialidad sobre los datos, obligación que subsiste tras la terminación del contrato.
- Garantizar que las personas autorizadas a tratar los datos se hayan comprometido por escrito a la confidencialidad y hayan recibido formación adecuada.
- Limitar el acceso al mínimo personal necesario para operar y dar soporte a la Plataforma.
- Aplicar y mantener las medidas de seguridad de la sección 7.
- No subcontratar total ni parcialmente el tratamiento fuera de lo previsto en la sección 6.
- Asistir al responsable en la atención de los derechos de los titulares, en las evaluaciones de impacto y en las consultas a la autoridad de control.
- Notificar las vulneraciones de seguridad conforme a la sección 9.
- Devolver o suprimir los datos al finalizar el encargo, conforme a la sección 12.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones.
- Llevar un registro de las actividades de tratamiento realizadas por cuenta del responsable.
6. Subencargados
El responsable autoriza de forma general a Nativa Health a recurrir a los siguientes subencargados, necesarios para la prestación del servicio:
| Subencargado | Función | Datos a los que accede |
|---|---|---|
| Supabase | Base de datos y autenticación | Registros clínicos y cuentas |
| Netlify | Alojamiento y funciones de servidor | Datos en tránsito y registros técnicos |
| 8x8 / Jitsi as a Service | Videoconsulta | Identificador de sala y nombre para mostrar |
| PostHog | Estadísticas de uso del producto | Eventos de navegación. No recibe datos clínicos ni identificadores de pacientes. |
| No aplica actualmente | Cobro de suscripciones | El plan Profesional se coordina y se paga de forma manual por WhatsApp; hoy no hay ninguna pasarela de pago automatizada actuando como subencargado. Esta fila se actualizará si se activa un procesador de pagos en línea. |
Nativa Health se obliga a imponer a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este Anexo, y responde ante el responsable por su actuación.
Si Nativa Health pretende incorporar o sustituir un subencargado, lo notificará al responsable con al menos 15 días de antelación. El responsable podrá oponerse por motivos razonables y fundados relativos a la protección de datos; de no alcanzarse una solución, podrá resolver el contrato sin penalidad.
7. Medidas de seguridad
Nativa Health aplica, como mínimo:
- Cifrado en tránsito mediante HTTPS en todas las comunicaciones.
- Segregación lógica por responsable: todo registro clínico está vinculado al identificador único del profesional que lo creó, con políticas de seguridad a nivel de fila que impiden el acceso cruzado entre profesionales.
- Segregación por paciente mediante identificadores propios e inmutables.
- Validación de identidad en el servidor antes de devolver cualquier dato clínico. Las credenciales privilegiadas de la base de datos no se exponen al navegador.
- Contraseñas almacenadas mediante funciones de derivación irreversibles por el proveedor de autenticación.
- PIN del paciente almacenado mediante función criptográfica de resumen; la comparación se realiza en el servidor.
- Bloqueo temporal tras intentos fallidos reiterados de acceso al portal.
- Respuestas de error genéricas que no revelan la estructura interna de la base de datos.
- Sesión única por profesional y expiración por inactividad.
- Registro estructurado de errores en el servidor para detección y diagnóstico de incidentes.
Parte de la información clínica se almacena en el navegador del dispositivo del profesional. Esa copia local queda fuera del control técnico de Nativa Health: su protección depende de las medidas del propio profesional (bloqueo de pantalla, cifrado de disco, no compartir el equipo). El responsable declara conocer y asumir este riesgo.
Asimismo, el PIN del portal es una credencial numérica de baja entropía, adecuada para comodidad del paciente pero no equiparable a una contraseña robusta. El responsable debe ponderar qué información publica en el portal.
8. Asistencia en el ejercicio de derechos
Cuando un paciente ejerza ante Nativa Health un derecho de acceso, rectificación, eliminación, oposición, portabilidad o suspensión, Nativa Health:
- No responderá por cuenta propia sobre datos clínicos.
- Trasladará la solicitud al responsable sin dilación, con los datos necesarios para identificarla.
- Prestará al responsable la asistencia técnica razonable para localizar, exportar, rectificar o suprimir la información, mediante las funcionalidades de la Plataforma o, si estas no bastan, mediante actuación manual.
9. Vulneraciones de seguridad
Nativa Health notificará al responsable sin dilación indebida desde que tenga conocimiento de una vulneración de seguridad que afecte datos tratados por su cuenta, proporcionando:
- La naturaleza de la vulneración y, cuando sea posible, las categorías y el número aproximado de titulares y registros afectados.
- Las consecuencias probables.
- Las medidas adoptadas o propuestas para mitigarla.
- Un punto de contacto para obtener más información.
La notificación a la Superintendencia de Protección de Datos Personales y, en su caso, a los pacientes afectados, corresponde al responsable, con la asistencia de Nativa Health. Nativa Health cumplirá además sus propias obligaciones de notificación como encargado.
10. Transferencias internacionales
El responsable reconoce y autoriza que los subencargados de la sección 6 pueden alojar y procesar datos fuera del territorio ecuatoriano, principalmente en Estados Unidos de América y la Unión Europea.
Nativa Health se obliga a suscribir con cada subencargado las cláusulas contractuales y acuerdos de tratamiento que impongan garantías equivalentes a las exigidas por la LOPDP, y a conservarlos a disposición del responsable y de la autoridad de control.
El responsable se obliga a informar de esta circunstancia a sus pacientes al recabar su consentimiento. El modelo de consentimiento informado incluye la mención correspondiente.
11. Auditoría y demostración de cumplimiento
Nativa Health pondrá a disposición del responsable, previa solicitud razonable y con periodicidad no superior a una vez al año salvo incidente de seguridad, la información necesaria para acreditar el cumplimiento de este Anexo.
El responsable podrá solicitar una auditoría, que se realizará con preaviso razonable, en horario laboral, sin interferir en la operación, bajo compromiso de confidencialidad y sin acceso a datos de otros responsables. Los costos correrán a cargo del responsable, salvo que la auditoría revele un incumplimiento sustancial imputable a Nativa Health.
12. Devolución y supresión al finalizar
Al terminar la prestación del servicio, por cualquier causa:
- El responsable dispondrá de 30 días para exportar la información clínica en formato estructurado y de uso común.
- Vencido ese plazo, Nativa Health suprimirá o anonimizará los datos alojados en su infraestructura y solicitará lo propio a sus subencargados.
- Se exceptúan los datos cuya conservación imponga una obligación legal, que se mantendrán bloqueados —accesibles solo para atender requerimientos de autoridad— hasta que prescriba dicha obligación.
- Nativa Health emitirá, a solicitud del responsable, una constancia escrita de la supresión.
- La copia local existente en el navegador del profesional debe ser eliminada por este, ya que se encuentra bajo su control exclusivo.
13. Responsabilidad entre las partes
Cada parte responde por el incumplimiento de las obligaciones que este Anexo le atribuye.
- El responsable responde por la licitud del tratamiento encargado, por la obtención y conservación del consentimiento de sus pacientes, por la exactitud de los datos y por la seguridad de sus propios dispositivos y credenciales.
- El encargado responde por tratar datos al margen de las instrucciones recibidas, por incumplir las medidas de seguridad comprometidas y por la actuación de sus subencargados.
Cada parte mantendrá indemne a la otra frente a sanciones o reclamaciones de terceros que deriven exclusivamente de su propio incumplimiento.
14. Vigencia
Este Anexo entra en vigor con la creación de la cuenta y el registro del primer paciente, y permanece vigente mientras Nativa Health trate datos por cuenta del responsable. Las obligaciones de confidencialidad y de supresión subsisten tras su terminación.
En caso de contradicción entre este Anexo y los Términos y Condiciones, prevalece este Anexo en todo lo relativo a la protección de datos personales.
Documentos relacionados: Términos y Condiciones · Política de Privacidad · Modelo de consentimiento informado.