Acuerdo de Encargo de Tratamiento (DPA)

1. Partes

El presente Acuerdo de Encargo de Tratamiento (en adelante, el «Acuerdo» o «DPA») se celebra al amparo del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Responsable del tratamiento: el fisioterapeuta o la clínica que se registra en movimiento y trata datos de sus pacientes en el ejercicio de su actividad profesional (en adelante, el «Responsable»).

Encargado del tratamiento: movimiento, marca bajo la que opera Alberto Ramos Rosellón, NIF 70909594L, domicilio en C/ Alamedilla 12 9I, 37003 Salamanca, España, titular de la plataforma appmovimiento.com (en adelante, el «Encargado»).

2. Objeto del encargo

El Encargado tratará datos personales por cuenta del Responsable exclusivamente para prestar el servicio movimiento: gestión de pacientes, rutinas de ejercicio terapéutico, registros de sesión, nivel de dolor, adherencia, credenciales de acceso y comunicaciones operativas (alertas, avisos de facturación de la suscripción de la clínica).

Este Acuerdo constituye las instrucciones documentadas del Responsable. El Encargado no tratará los datos para fines propios, publicidad, elaboración de perfiles clínicos automatizados ni cesión a terceros ajenos a este encargo, salvo obligación legal.

3. Duración

El encargo permanece vigente mientras exista la cuenta o clínica en movimiento o hasta que el Responsable solicite el cese del tratamiento.

Tras la baja se aplicará la supresión o devolución prevista en la cláusula 12, sin perjuicio de los plazos legales de conservación (en particular, historia clínica conforme a la Ley 41/2002 y plazos autonómicos que puedan ser superiores, y obligaciones fiscales de facturación).

4. Naturaleza y finalidad del tratamiento

Naturaleza: alojamiento, almacenamiento, transmisión, autenticación, envío de correos transaccionales y, respecto de la suscripción de la clínica, cobro y facturación.

Finalidad: permitir al Responsable asignar y seguir rutinas de ejercicio de sus pacientes y gestionar su cuenta profesional. El Encargado no toma decisiones clínicas.

5. Tipos de datos personales

• Datos identificativos y de contacto: nombre, apellidos, teléfono; email del profesional.
• Datos de salud (categoría especial, art. 9 RGPD y LOPDGDD): ejercicios, rutinas, sesiones, nivel de dolor y notas asociadas al seguimiento.
• Datos de autenticación y uso técnico mínimo del servicio.
• Datos de facturación de la clínica (Stripe): identificación de cobro, importe y estado de la suscripción. No se tratan datos de pago de pacientes.

6. Categorías de interesados

Principalmente, los pacientes del Responsable. También el propio profesional o usuarios de la clínica que acceden al servicio.

7. Obligaciones del Encargado

Conforme al art. 28.3 RGPD y a la LOPDGDD, el Encargado se obliga a:

• Tratar los datos solo siguiendo las instrucciones documentadas del Responsable (el uso del servicio y este Acuerdo), salvo que el Derecho de la Unión o español le exija otro tratamiento; en ese caso lo informará al Responsable, si es legalmente posible.
• Informar de inmediato al Responsable si, a su juicio, una instrucción infringe el RGPD, la LOPDGDD u otras normas de protección de datos.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a confidencialidad o están sujetas a una obligación legal de secreto.
• Adoptar las medidas técnicas y organizativas adecuadas del art. 32 RGPD (cláusula 9).
• No recurrir a otro encargado sin las garantías del art. 28; los subencargados actuales se identifican en la cláusula 8.
• Asistir al Responsable, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, para que este pueda cumplir con los derechos de los interesados (cláusula 10).
• Ayudar al Responsable a cumplir los arts. 32 a 36 RGPD: seguridad, notificación de brechas, comunicación a interesados cuando proceda, evaluaciones de impacto (EIPD) y consulta previa.
• Notificar al Responsable, sin dilación indebida y, cuando sea posible, en un plazo que le permita cumplir el art. 33 RGPD, las violaciones de seguridad de las que tenga conocimiento, con la información disponible.
• A la finalización del encargo, suprimir o devolver los datos según la cláusula 12, salvo obligación legal de conservación.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este encargo y permitir auditorías (cláusula 13).
• Llevar el registro de actividades que corresponda como encargado (art. 30.2 RGPD) cuando sea exigible.

8. Subencargados

El Responsable autoriza con carácter general la subcontratación de tratamientos accesorios necesarios para prestar el servicio. El Encargado impondrá a cada subencargado, por contrato escrito, obligaciones equivalentes a las de este Acuerdo.

Si un subencargado incumple, el Encargado responde ante el Responsable de ese incumplimiento, en los términos generales de la cláusula 16.

Subencargados actuales (o equivalentes que presten el mismo servicio):

• Vercel: alojamiento de la aplicación web.
• Cloudflare: red de distribución, DNS y protección de la plataforma.
• Proveedor de base de datos PostgreSQL (actualmente Neon): almacenamiento de los datos del servicio.
• Resend: correo electrónico transaccional (alertas, credenciales, facturación de la clínica).
• Stripe: cobro y facturación de la suscripción de la clínica (no de pacientes).

El Encargado informará de cambios relevantes de subencargados (por ejemplo, en appmovimiento.com/privacy o /dpa, o por correo). El Responsable podrá oponerse por motivos razonables de protección de datos. Si no hubiera alternativa viable, podrá resolver el servicio conforme a los términos aplicables.

9. Seguridad

El Encargado aplica medidas acordes al art. 32 RGPD y a la naturaleza de datos de salud, entre ellas:

• Cifrado en tránsito (HTTPS).
• Control de acceso por roles (clínica, fisioterapeuta, paciente).
• Aislamiento de datos por clínica.
• Contraseñas almacenadas de forma irreversible (hash).
• Minimización: solo los datos necesarios para el servicio.

Ningún sistema es infalible. El Encargado mantendrá las medidas actualizadas según el riesgo y el estado de la técnica, sin que ello implique una garantía absoluta de seguridad.

10. Asistencia en derechos de los interesados

El Responsable es quien debe atender las solicitudes de acceso, rectificación, supresión, oposición, limitación, portabilidad y las relativas a decisiones automatizadas (capítulo III RGPD y LOPDGDD).

Si un interesado se dirige al Encargado, este lo reenviará sin dilación indebida al Responsable, salvo que deba responder por obligación legal.

El Encargado pondrá a disposición las funciones del servicio (exportación o eliminación de cuenta, aislamiento por clínica) y prestará asistencia razonable para que el Responsable pueda cumplir los plazos legales.

11. Brechas de seguridad, EIPD y consultas

Ante una violación de seguridad que afecte a datos del encargo, el Encargado avisará al Responsable sin dilación indebida a través del correo de la clínica o de privacidad@appmovimiento.com, con la información disponible para que el Responsable valore la notificación a la AEPD (art. 33 RGPD) y, si procede, a los interesados (art. 34 RGPD).

Si el Responsable debe realizar una evaluación de impacto o una consulta previa (arts. 35 y 36 RGPD), el Encargado le facilitará la información razonable sobre el tratamiento técnico que realice, sin sustituir el criterio ni la responsabilidad del Responsable.

12. Supresión o devolución de los datos

Al terminar el encargo, el Responsable podrá solicitar la devolución (exportación) o la supresión de los datos personales del encargo.

El Encargado suprimirá o anonimizará los datos en los sistemas activos, salvo bloqueo o conservación exigidos por ley (historia clínica, facturación u otras obligaciones).

Copias de seguridad se irán eliminando según el ciclo habitual de retención técnica, sin uso posterior para el servicio.

13. Auditorías y demostración del cumplimiento

El Encargado pondrá a disposición del Responsable la información razonable necesaria para demostrar el cumplimiento de este Acuerdo (descripciones técnicas, política de privacidad, este DPA y, cuando existan, resúmenes de medidas o de incidentes que le afecten).

El Responsable podrá solicitar auditorías o inspecciones, por sí o por un auditor independiente sujeto a confidencialidad, con preaviso razonable, en horario laboral y sin interrumpir de forma desproporcionada el servicio ni los derechos de otros clientes. Se preferirán cuestionarios, evidencias documentales o certificaciones equivalentes cuando aporten garantías suficientes.

14. Transferencias internacionales

Si algún subencargado trata datos fuera del Espacio Económico Europeo (por ejemplo, Stripe u otros proveedores con infraestructura internacional), el Encargado se asegurará de que existan garantías adecuadas del capítulo V del RGPD: decisión de adecuación, cláusulas contractuales tipo de la Comisión Europea u otro mecanismo válido.

A petición razonable, el Encargado informará al Responsable del mecanismo aplicable al subencargado afectado.

15. Obligaciones del Responsable

• Es el responsable frente a pacientes, profesionales de su clínica y la Agencia Española de Protección de Datos (AEPD).
• Debe disponer de base jurídica para el tratamiento, incluida la de datos de salud (art. 6 y art. 9 RGPD; en el ámbito sanitario, típicamente asistencia sanitaria por profesional sujeto a secreto, art. 9.2.h, y/o consentimiento explícito cuando proceda).
• Debe informar a los pacientes y cumplir el deber de información (arts. 13 y 14 RGPD y LOPDGDD).
• Usará el servicio conforme al RGPD, la LOPDGDD, la normativa sanitaria aplicable y el secreto profesional.
• No introducirá datos innecesarios (minimización) ni usará la plataforma como historia clínica completa si su obligación profesional exige otro soporte.
• Gestionará altas y bajas de usuarios de su clínica y las solicitudes de derechos de sus pacientes.
• Mantendrá actualizados los datos de contacto de la clínica para notificaciones (incluido el email de facturación y avisos).

16. Responsabilidad (términos generales)

Cada parte responde de las infracciones del RGPD y de la LOPDGDD que le sean imputables, de acuerdo con los arts. 82 RGPD y concordantes. El Encargado responde frente al Responsable por el tratamiento que realice incumpliendo este Acuerdo o las instrucciones lícitas del Responsable, y por los actos de sus subencargados en ese marco.

El Encargado no responde de las decisiones clínicas, del consentimiento o la información que el Responsable deba prestar a sus pacientes, ni del uso del servicio contrario a este Acuerdo o a la ley por parte del Responsable o de sus usuarios.

Salvo dolo o culpa grave, y sin perjuicio de lo que no pueda limitarse por ley (en particular, indemnizaciones por daños del art. 82 RGPD cuando procedan), la responsabilidad contractual del Encargado frente al Responsable por el servicio se rige por los términos de servicio de movimiento y, en su caso, queda limitada a los importes abonados por la clínica en los doce meses anteriores al hecho.

Nada en esta cláusula excluye la responsabilidad que el RGPD impone de forma inderogable a cada parte ante los interesados o la autoridad de control.

17. Legislación y autoridad de control

Este Acuerdo se rige por el RGPD, la LOPDGDD y el resto del Derecho español que resulte de aplicación.

La autoridad de control principal de referencia es la Agencia Española de Protección de Datos (aepd.es). Los interesados pueden presentar reclamación ante la AEPD.

Para controversias entre las partes derivadas de este Acuerdo, con renuncia a cualquier otro fuero que pudiera corresponderles, serán competentes los juzgados y tribunales de Salamanca, salvo norma imperativa en contrario.

18. Contacto

Privacidad del Encargado: privacidad@appmovimiento.com. Política de privacidad: appmovimiento.com/privacy. Términos del servicio: appmovimiento.com/terms.

19. Aceptación

Al marcar la casilla de aceptación en el registro de movimiento, el profesional que crea la clínica, en nombre del Responsable, acepta este Acuerdo de Encargo de Tratamiento (versión 2026-08-30) junto con los términos del servicio y la política de privacidad.

Queda constancia de la aceptación (fecha y versión) asociada a la clínica. No es necesario el envío de un contrato firmado en papel o por correo; la aceptación electrónica en el registro formaliza el encargo del art. 28 RGPD.