Contrato de encargado del tratamiento

1. Partes

Responsable del tratamiento: el fisioterapeuta o la clínica que se registra en movimiento y trata datos de sus pacientes.

Encargado del tratamiento: movimiento (plataforma appmovimiento.com), que aloja y procesa esos datos solo para prestar el servicio.

2. Objeto

El Encargado tratará datos personales por cuenta del Responsable para: gestión de pacientes, rutinas de ejercicio, registros de sesión, nivel de dolor, adherencia y comunicaciones operativas (alertas, credenciales, facturación de la suscripción de la clínica).

3. Datos y categorías

Interesados: pacientes del Responsable y el propio profesional usuario.

• Identificación: nombre, apellidos, teléfono; email del profesional.
• Datos de salud (categoría especial, art. 9 RGPD): ejercicios, rutinas, sesiones y dolor.
• Datos técnicos de autenticación y, en la clínica, facturación (Stripe).

4. Duración

Mientras exista la cuenta/clínica en movimiento o hasta que el Responsable solicite el cese del tratamiento. Tras la baja se aplicarán borrado o anonimización según la política de privacidad y obligaciones legales (p. ej. plazos de historia clínica).

5. Obligaciones del Encargado

• Tratar los datos solo siguiendo instrucciones documentadas del Responsable (uso del servicio).
• Garantizar confidencialidad del personal autorizado.
• Aplicar medidas técnicas y organizativas adecuadas (HTTPS, control de acceso por roles, aislamiento por clínica, contraseñas hasheadas).
• No subcontratar sin las garantías del art. 28; subencargados actuales: Vercel (hosting), proveedor de base de datos, Resend (correo) y Stripe (pagos de la suscripción).
• Ayudar al Responsable en derechos de los interesados y, cuando proceda, en EIPD y brechas.
• Aviso al Responsable sin dilación indebida si conoce una violación de seguridad.
• A la finalización: suprimir o devolver los datos, salvo obligación legal de conservación.
• Poner a disposición la información necesaria para demostrar el cumplimiento de este encargo.

6. Obligaciones del Responsable

• Ser el responsable frente a pacientes y AEPD; informar y, cuando proceda, obtener bases legales (incl. datos de salud).
• Usar el servicio conforme a RGPD, LOPDGDD, normativa sanitaria y secreto profesional.
• No introducir datos innecesarios; minimizar.
• Gestionar altas/bajas de usuarios de su clínica y solicitudes de derechos de pacientes.

7. Transferencias internacionales

Si algún subencargado trata datos fuera del EEE (p. ej. Stripe), se aplicarán garantías adecuadas (cláusulas contractuales tipo u otras del RGPD).

8. Contacto

Privacidad: privacidad@appmovimiento.com. Política: /privacy.

9. Aceptación / firma

Al confirmar la firma en el registro de movimiento, el Responsable acepta este contrato de encargado (versión 2026-08) junto con los términos del servicio y la política de privacidad. Queda constancia de la aceptación (fecha y versión) asociada a la clínica.