Contrato de tratamiento de datos.

Este contrato es entre tu clínica —la que aparece en tu cuenta— y REMI Software Médico, el servicio que opera el expediente.

Lo aceptas al crear tu cuenta. Queda registrado con la fecha, la versión exacta de este texto y la dirección desde la que se aceptó, para que puedas demostrarlo ante quien te lo pida.

Desde tu cuenta puedes descargar tu copia firmada, que lleva la identificación completa y el domicilio de quien opera el servicio, como corresponde a un contrato. Aquí no se publican porque identifican a una persona, y esta página la puede abrir cualquiera.

Esta es la parte que más se confunde, y de la que cuelga todo lo demás.

• Tu clínica decide. Qué se registra en el expediente, para qué, quién de tu equipo lo ve y cuánto tiempo se conserva. La ley te llama responsable del tratamiento. Ante tus pacientes y ante la autoridad, respondes tú.
• REMI ejecuta. Guardamos, procesamos y mostramos esos datos siguiendo tus instrucciones y este contrato. La ley nos llama encargado del tratamiento.

El encargado no usa los datos de los pacientes para fines propios distintos de prestar el servicio. Las únicas excepciones están escritas en la política de privacidad: las estadísticas agregadas y anonimizadas, que no permiten identificar a nadie, y los registros técnicos necesarios para mantener la plataforma en pie.

Personas cuyos datos tratamos: tus pacientes y quienes los representan, y el personal de tu clínica.

Datos: identificación y contacto, y la información clínica que tu equipo registra — diagnósticos, medicamentos, estudios, imágenes, medidas, antecedentes y notas. Casi todo eso es dato sensible en el sentido de la ley, porque se refiere a la salud física y mental. Se trata con la protección reforzada que eso exige.

Para qué: prestarte el servicio de expediente clínico electrónico y las funciones que actives.

Hasta cuándo: mientras tengas cuenta activa, más los plazos de conservación que te impone a ti la normativa del expediente clínico. Al terminar se aplica lo previsto en la sección «Terminación del servicio».

• Tratar los datos solo para prestarte el servicio, y solo conforme a tus instrucciones y a este contrato.
• No cederlos, venderlos ni comercializarlos. Nunca, en ninguna forma que identifique a una persona.
• Mantener las medidas de seguridad de la sección siguiente, y mejorarlas cuando aparezcan riesgos nuevos.
• Guardar confidencialidad, también después de que dejes de ser cliente.
• Obligar por contrato a nuestro personal y a nuestros proveedores a lo mismo.
• Ayudarte a atender las solicitudes de tus pacientes y las peticiones de la autoridad, en el plazo que te corra a ti.
• Avisarte de cualquier vulneración de seguridad sin demora, con lo que necesites para notificarla.
• Avisarte antes de cambiar de proveedor si el cambio afecta tus datos.
• Devolverte o eliminar los datos cuando te vayas, según lo que elijas.

Hay cosas que solo puedes hacer tú, porque eres quien decide:

• Registrar solo los datos que necesitas para atender a tu paciente.
• Informar a tus pacientes cómo tratas sus datos y publicar tu propio aviso de privacidad. REMI te lo genera con tus datos, pero el aviso es tuyo.
• Nombrar a quien atienda las solicitudes de tus pacientes, si tu país lo exige.
• Dar de baja en REMI al personal que deja tu clínica, el mismo día.
• No compartir tu contraseña, y activar el segundo factor de acceso.
• Responder a los pacientes dentro del plazo legal. El encargado avisa y provee la herramienta; la respuesta corresponde al responsable.

Las mantenemos activas y las detalla la página de seguridad. En resumen:

• Cifrado del tráfico con HTTPS/TLS, y cifrado de los discos donde viven la base y los archivos.
• Cifrado campo por campo de lo más delicado: notas de proceso de psicoterapia, credenciales de servicios externos y secretos de acceso.
• Aislamiento entre clínicas: ninguna ve los datos de otra.
• Permisos por rol: cada persona de tu equipo ve lo que su puesto necesita.
• Acceso con segundo factor disponible para todo tu equipo.
• Bitácora de accesos al expediente, que tu paciente puede consultar él mismo.
• Respaldos periódicos y capacidad de restauración.
• Registro de las acciones de nuestro personal cuando entra a una cuenta para dar soporte, con motivo escrito, límite de tiempo y aviso al usuario.

Para operar REMI trabajamos con los proveedores que lista la política de privacidad, con su país y para qué sirve cada uno. Todos están obligados por contrato a lo mismo que nosotros.

Aceptar este contrato incluye aceptar esos proveedores. Si agregamos o cambiamos alguno que trate datos de tus pacientes, lo anunciamos antes y actualizamos esa lista. Si el cambio no te sirve, puedes darte de baja y llevarte tus datos.

Los datos de tus pacientes se guardan en servidores en Nueva York, Estados Unidos, y solo ahí. Quien opera el servicio lo administra desde otro país, pero los datos no viajan ahí: son dos cosas distintas y conviene no confundirlas.

Que los datos salgan de El Salvador tiene consecuencias legales que te toca conocer:

• Debes informar a tus pacientes de ese alojamiento. No hace falta que cada uno firme una autorización: quien guarda los datos lo hace por cuenta tuya, y la ley no lo trata como entregárselos a un tercero. Te damos el aviso y el cartel para la sala de espera.
• Debes poner el flujo en conocimiento de Agencia de Ciberseguridad del Estado (ACE). Te damos el aviso redactado.
• Las garantías del tramo internacional son nuestras: contrato con cada proveedor, cláusulas de transferencia y las medidas de seguridad de arriba.

Cuando un paciente te pide acceso a sus datos, una corrección, una copia para llevárselos u oponerse a un uso, la solicitud es tuya y la respuesta también. Lo que hacemos nosotros:

• Aparece en la bandeja de la clínica con el plazo legal contándose solo (20 días hábiles, prorrogables otros 20).
• Se entrega la copia de los datos en formato estructurado e interoperable, lista para su entrega al paciente.
• Se entrega la bitácora de accesos a ese expediente.
• Se entrega la plantilla de la resolución escrita.

Si el paciente escribe directamente al encargado, se le deriva al responsable y se le avisa el mismo día.

Si el encargado detecta cualquier acceso indebido, pérdida o alteración de datos de los pacientes, avisa al responsable sin demora y le entrega redactado lo que deba notificar: el alcance, qué datos se vieron afectados, qué medidas se tomaron y qué recomendar a los pacientes.

La notificación formal la presenta el responsable, y el plazo es de 72 horas desde que se tuvo conocimiento. Los destinatarios en El Salvador son Agencia de Ciberseguridad del Estado (ACE), Fiscalía General de la República, Titulares afectados. Si el incidente es de la plataforma y afecta a varias clínicas, el encargado avisa a todas a la vez y notifica también por su cuenta.

El responsable puede solicitar al encargado la información que necesite para demostrar su cumplimiento. Si la autoridad inspecciona y pide datos técnicos de la plataforma, los prepara el encargado.

Una auditoría en sitio se acuerda en fecha y alcance, con la reserva de que no puede comprometer la seguridad ni la confidencialidad de otras clínicas.

Si cierras tu cuenta, tus datos no desaparecen de un día para otro, porque la normativa del expediente clínico te obliga a conservarlos:

• La cuenta pasa a solo lectura. Sigues entrando, sigues consultando, no se registra nada nuevo.
• Puedes exportar todo cuando quieras, en formato estructurado y en PDF.
• Conservamos los datos mientras te corra tu deber de conservación, y no los usamos para nada más.
• Cuando nos lo pidas por escrito y tu deber legal lo permita, los eliminamos y te lo confirmamos.

El encargado no retiene los datos como medio de presión para la continuidad del servicio, y no cobra por exportarlos.

Cada parte responde por lo suyo: tú por lo que decides registrar y por cómo tu equipo usa el sistema; nosotros por cómo lo guardamos y protegemos.

Si una sanción o un reclamo deriva de un incumplimiento del encargado, lo asume el encargado. Si deriva de una instrucción del responsable contraria a la ley, o de un acceso filtrado desde su lado, lo asume el responsable.

Este contrato vale mientras tengas cuenta en REMI, y las obligaciones de confidencialidad siguen después.

Toda modificación se avisa con antelación, indicando qué cambió. Los cambios que reduzcan las garantías del responsable o de sus pacientes requieren una aceptación nueva; la versión aceptada queda registrada y sigue siendo la aplicable hasta entonces.

En lo que no diga este contrato se aplica la ley del país de tu clínica en materia de protección de datos.