Acuerdo de tratamiento de datos

Anexo a los Términos y Condiciones: Acuerdo de tratamiento de datos personales entre el Profesional (responsable) y Calidana (encargado)
Versión borrador del 23/09/2026.

Entre [[NOMBRE DEL PROFESIONAL]], matrícula [[MATRÍCULA]], con domicilio en [[DOMICILIO DEL CONSULTORIO]] (el "Responsable"), y [[RAZÓN SOCIAL]], CUIT [[CUIT]], con domicilio en [[DOMICILIO LEGAL]] (el "Encargado" o "Calidana"), se acuerda:

1. Objeto y marco legal

El presente Anexo regula el tratamiento que Calidana realiza, por cuenta y bajo las instrucciones del Responsable, de los datos personales de los pacientes de este, en cumplimiento del artículo 25 de la Ley 25.326 y del artículo 25 del Decreto 1558/2001. Se acepta junto con los Términos y Condiciones y tiene su misma vigencia.

2. Descripción del tratamiento

• Finalidad: prestación del servicio de gestión del consultorio descripto en los Términos (agenda, historia clínica, archivos, cobros, portal del paciente, recordatorios, mensajes, exportación).
• Titulares: pacientes del Responsable y, en su caso, sus representantes legales.
• Categorías de datos: identificación y contacto (nombre, DNI, año de nacimiento, sexo, teléfono, email, cobertura de salud); datos de turnos, pagos, señas y penalizaciones; datos sensibles de salud (diagnóstico, evolución, altas e indicaciones, mediciones, objetivos, ejercicios, estudios, órdenes médicas, fotos, mensajes clínicos); registros de acceso y consentimiento.
• Operaciones: almacenamiento, organización, conservación, consulta por el Responsable y por el propio paciente, comunicación al paciente a través del portal y de los recordatorios que el Responsable configure, copia de seguridad, exportación y supresión.
• Duración: mientras esté vigente la suscripción y durante el plazo posterior a la baja previsto en los Términos.

3. Obligaciones del Encargado

Calidana se obliga a:

1. Tratar los datos únicamente conforme a las instrucciones del Responsable, que son las funciones de la plataforma y su configuración, y nunca para fines propios ni de terceros. No aplicar ni utilizar los datos con un fin distinto al del servicio (artículo 25, inciso 1 de la Ley 25.326).
2. No ceder los datos a terceros, ni siquiera para su conservación, salvo los subencargados autorizados en el punto 5 y los requerimientos de autoridad competente (artículo 25, inciso 1 de la Ley 25.326).
3. Guardar secreto profesional respecto de los datos, obligación que subsiste aun después de finalizada la relación (artículo 10 de la Ley 25.326), y exigir el mismo deber a las personas que intervengan en el tratamiento.
4. Adoptar las medidas de seguridad técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos y evitar su adulteración, pérdida, consulta o tratamiento no autorizado (artículo 9 de la Ley 25.326), tomando como referencia la Resolución AAIP 47/2018, y en particular las descriptas en el punto 4.
5. Limitar el acceso de su personal al mínimo necesario. Todo acceso del administrador de la plataforma a la cuenta del Responsable ("Ver como") queda registrado en un registro inmutable con la identidad del administrador y se limita a soporte, seguridad y cumplimiento legal.
6. Asistir al Responsable para que pueda atender los pedidos de acceso, rectificación, actualización, supresión u oposición de los pacientes, mediante las funciones de la plataforma (edición, archivo, eliminación definitiva, exportación, portal del paciente). Si un paciente se dirige a Calidana, esta lo derivará al Responsable y le avisará dentro de [[PLAZO, sugerido 3 días hábiles]].
7. Notificar al Responsable, sin demora indebida y a más tardar dentro de [[PLAZO, sugerido 72 horas]] de conocido, todo incidente de seguridad que afecte los datos tratados por su cuenta, informando naturaleza, datos y titulares afectados, medidas adoptadas y recomendadas.
8. Al finalizar la relación, poner a disposición del Responsable la exportación completa de sus datos y, transcurrido el plazo previsto en los Términos, eliminar los datos de forma segura, incluidas las copias de seguridad al cumplirse su ciclo de retención (14 días), salvo obligación legal de conservación.
9. Poner a disposición del Responsable la información necesaria para acreditar el cumplimiento de este Anexo y colaborar con las verificaciones que la AAIP disponga.

4. Medidas de seguridad implementadas

• Cifrado en tránsito (HTTPS) de todo el servicio; cookie de sesión firmada con HMAC, HttpOnly, Secure y SameSite; contraseñas con hash PBKDF2 y salt; invalidación de sesiones al cambiar la contraseña.
• Aislamiento entre consultorios mediante políticas de seguridad por fila en la base de datos, fijadas por transacción; sin contexto de usuario la base no devuelve datos.
• Control de acceso por rol (administrador, profesional, paciente); el paciente accede solo a su propio espacio; las cuentas pendientes o suspendidas no acceden a datos.
• Registro de actividad inmutable (permisos de solo inserción, sin políticas de modificación y disparador que rechaza cambios), que incluye lecturas de fichas, exportaciones, eliminaciones, inicios de sesión y fallos, con IP.
• Límites de intentos por IP y usuario en inicio de sesión, portal por link, subida por link, reserva pública y webhook de pagos; links de subida con vencimiento a las 48 horas; códigos de portal de 128 bits regenerables.
• Cabeceras de seguridad (Content-Security-Policy restringida al propio origen, sin scripts de terceros) y sin caché de respuestas de la API.
• Credenciales de Mercado Pago del Responsable excluidas de las exportaciones y de las respuestas de la API.
• Copias de seguridad diarias de la base, con permisos restringidos al administrador del servidor, verificación semanal de integridad y retención de 14 días.
• Pruebas automáticas diarias del sistema (más de 850 verificaciones) que alertan al administrador ante fallas.

5. Subencargados y transferencias

El Responsable autoriza a Calidana a utilizar los siguientes proveedores, que acceden a datos personales en la medida indicada:

• [[PROVEEDOR DE HOSTING]] ([[PAÍS DEL SERVIDOR]]): alojamiento del servidor y de la base de datos. [[a confirmar: si el país no tiene nivel adecuado de protección según la AAIP, incorporar las cláusulas contractuales modelo de la Resolución AAIP 159/2018 o el consentimiento del titular (artículo 12 de la Ley 25.326)]]
• Google (Gmail SMTP): envío de emails (recordatorios, avisos de reserva, resumen semanal); recibe la dirección del destinatario y el texto del email.

No son subencargados, sino servicios que el Responsable contrata o elige por su cuenta: Mercado Pago (cobros en la cuenta del Responsable), WhatsApp (mensajes enviados desde el teléfono del Responsable), y las plataformas de videollamada o video (Zoom, Google Meet, YouTube, Drive u otras) cuyos links el Responsable carga.

Calidana informará al Responsable con [[DÍAS DE PREAVISO]] días de anticipación cualquier cambio o incorporación de subencargados, y el Responsable podrá oponerse y dar de baja el servicio conforme a los Términos.

6. Obligaciones del Responsable

1. Garantizar que cuenta con base legal y, cuando corresponda, con el consentimiento informado de sus pacientes para tratar sus datos a través de Calidana, y haberlos informado según el artículo 6 de la Ley 25.326.
2. Cargar únicamente datos pertinentes y necesarios para la atención (artículo 4 de la Ley 25.326), mantenerlos exactos y actualizados.
3. Configurar la plataforma de manera diligente: decidir qué notas y archivos comparte con cada paciente, activar o no los recordatorios automáticos, custodiar sus credenciales y las de Mercado Pago, y no compartir links personales de pacientes con terceros.
4. Atender los pedidos de derechos de los pacientes en los plazos legales, usando las funciones de la plataforma.
5. Cumplir la conservación mínima de la historia clínica (artículo 18 de la Ley 26.529) y, antes de eliminar definitivamente un paciente o dar de baja el servicio, exportar y resguardar la información que deba conservar.
6. Inscribir su propia base de datos de pacientes en el Registro Nacional de Bases de Datos de la AAIP cuando corresponda (artículo 21 de la Ley 25.326), sin perjuicio de la inscripción de Calidana respecto de las bases de las que es responsable. [[a confirmar con el abogado: si cada consultorio debe inscribirse por separado]]

7. Responsabilidad

Cada parte responde por el incumplimiento de las obligaciones que este Anexo y la Ley 25.326 le imponen. Calidana responde por los daños causados por un tratamiento realizado en contra de las instrucciones del Responsable o de este Anexo. El Responsable mantiene indemne a Calidana por los reclamos derivados de datos cargados sin base legal, de decisiones clínicas o de la eliminación de datos ordenada por el Responsable.

8. Vigencia, ley aplicable y jurisdicción

Este Anexo rige mientras Calidana trate datos por cuenta del Responsable y hasta la eliminación o devolución de los datos. Se rige por las leyes de la República Argentina; para cualquier controversia son competentes los tribunales de [[JURISDICCIÓN]].