Acuerdo de procesamiento de datos

El Cliente, tal como se menciona en el contrato principal del cual este acuerdo de encargo de tratamiento de datos forma parte.

y

The MedGuide Company B.V., que opera bajo el nombre comercial de The MedGuide Company, inscrita en el Registro Mercantil de la Cámara de Comercio con el número 76091465, con domicilio social y oficinas en (1013 AP) Ámsterdam, Danzigerkade 227 B (en lo sucesivo denominada MedGuide o el Encargado del Tratamiento), legalmente representada en este acto por su director general, el Sr. J.T. van der Kleij;

en lo sucesivo denominadas conjuntamente: las Partes.

Las Partes tienen en cuenta lo siguiente:

El Cliente, en su calidad de Responsable del Tratamiento de los datos personales en virtud del Reglamento General de Protección de Datos (en lo sucesivo: RGPD), está obligado a celebrar un acuerdo de encargo de tratamiento con el Encargado del Tratamiento;
En el marco de los trabajos acordados entre las partes, establecidos en un contrato y que serán ejecutados por el Encargado del Tratamiento, este tratará, por cuenta y siguiendo las instrucciones del Cliente, datos personales pertenecientes al Cliente, sin estar sujeto a la autoridad directa de este último;
El Encargado del Tratamiento tratará los datos personales durante la ejecución de los trabajos de acuerdo con las instrucciones y bajo la responsabilidad del Cliente;
El Cliente y el Encargado del Tratamiento han tomado nota del artículo 32 del RGPD para elegir un nivel de protección adecuado;
Adicionalmente, el Cliente podrá encomendar por escrito otros tratamientos al Encargado del Tratamiento, los cuales se adjuntarán como anexo a este acuerdo de encargo de tratamiento;
El Encargado del Tratamiento solo llevará a cabo aquellos tratamientos de datos que hayan sido ordenados por escrito por el Cliente;
Si por instrucción del Cliente se tratan más o diferentes datos personales, o si se realiza el tratamiento de manera distinta a la descrita en el anexo aplicable, este acuerdo de encargo de tratamiento también se aplicará a dichos tratamientos y datos personales.

Y acuerdan lo siguiente:

Artículo 1. Definiciones

Los términos utilizados en el acuerdo de procesamiento de datos se derivan del RGPD y tienen el siguiente significado:

Datos personales
Toda información sobre una persona física identificada o identificable ('el Interesado'). Se considera identificable una persona física que pueda ser identificada, directa o indirectamente, en particular mediante un identificador como un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.

Tratamiento
Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción de datos personales.

Responsable del tratamiento
La persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento de datos personales.

Encargado del tratamiento
La persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del Responsable del tratamiento.

Interesado
Persona física identificada o identificable a la que se refieren los datos personales tratados.

Acuerdo de procesamiento de datos
El presente acuerdo incluidos los anexos.

Acuerdo
El acuerdo principal celebrado entre el Responsable/Cliente y el Encargado en relación con los servicios prestados por el Encargado, posiblemente en forma de una oferta firmada por las partes.

Violación de seguridad de datos personales
Una violación de la seguridad que ocasione de forma accidental o ilícita la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos (Filtración de datos).

Incidente de seguridad
Un evento en el que existe la posibilidad de que la confidencialidad, integridad o disponibilidad de la información o de los sistemas de tratamiento de la información esté o pueda estar en peligro.

Autoridad de control
Una autoridad pública independiente responsable de supervisar el cumplimiento de la legislación en relación con el tratamiento de datos personales. En los Países Bajos, esto es la Autoridad de Protección de Datos (AP).

Artículo 2. Tratamiento de datos personales

El Cliente otorga el encargo al Encargado del Tratamiento, quien lo acepta, para tratar datos personales de conformidad con este acuerdo de encargo de tratamiento.
El Cliente sigue siendo el Responsable del Tratamiento de los datos. El Encargado del Tratamiento no tiene un control independiente sobre los datos personales que se tratan para el Cliente de conformidad con este acuerdo de encargo de tratamiento.
El Encargado del Tratamiento tratará los datos personales exclusivamente sobre la base de instrucciones escritas del Cliente, inclusive con respecto a la transferencia de datos personales a un tercer país u organización internacional, a menos que la legislación aplicable al Encargado del Tratamiento le obligue a realizar dicho tratamiento. En tal caso, el Encargado del Tratamiento informará al Cliente de esa obligación legal antes del tratamiento, a menos que dicha legislación lo prohíba por razones importantes de interés público. El Encargado del Tratamiento informará inmediatamente al Cliente si una instrucción constituye una infracción del RGPD u otras disposiciones de protección de datos.
En la medida en que el Encargado del Tratamiento trate datos seudonimizados o anonimizados para su posterior entrega a terceros para fines comerciales o de investigación propios del Encargado del Tratamiento, este se calificará para ese tratamiento específico como responsable independiente del tratamiento en el sentido del artículo 4, apartado 7, del RGPD. Este tratamiento queda fuera del alcance de la facultad de instrucción del Responsable del Tratamiento a la que se refiere este artículo y se regula por separado en el Anexo 3 (Regulación de la entrega posterior a terceros).
El Cliente es responsable de garantizar que exista una base jurídica válida para el tratamiento de los datos personales de conformidad con la legislación sobre privacidad.
El Encargado del Tratamiento tratará los datos personales mencionados en el Anexo 1 aplicable y facilitados de forma estrictamente necesaria por el Cliente exclusivamente para las actividades descritas en el mismo. El Encargado del Tratamiento se abstendrá de realizar otras acciones, a menos que se acuerde lo contrario en el anexo aplicable.

Artículo 3. Entrega posterior a terceros

El Encargado del Tratamiento tiene derecho a proporcionar datos seudonimizados o anonimizados, derivados de los datos personales tratados en el marco de este acuerdo, a terceros (incluidas empresas farmacéuticas, instituciones científicas y organismos públicos), exclusivamente si:
1. El Encargado del Tratamiento ha establecido una base jurídica legítima y documentable para este tratamiento, base que es independiente de la base utilizada por el Responsable del Tratamiento para los servicios principales.
2. El Responsable del Tratamiento ha informado previamente a los pacientes afectados de conformidad con los artículos 13 y 14 del RGPD y, cuando legalmente se requiera, ha obtenido el consentimiento explícito de conformidad con el artículo 9, apartado 2, letra a, del RGPD.
3. La metodología de anonimización o seudonimización aplicada está documentada y se presentará a solicitud del Responsable del Tratamiento o de una autoridad de control.
4. El Encargado del Tratamiento ha realizado una evaluación de impacto relativa a la protección de datos de conformidad con el artículo 35 del RGPD antes del inicio del tratamiento.
El Responsable del Tratamiento se compromete a ofrecer a los pacientes la posibilidad de oponerse a la entrega de sus datos para los fines previstos en este artículo, sin que ello afecte al acceso a los servicios farmacéuticos habituales.
El Encargado del Tratamiento es responsable independiente del tratamiento para el tratamiento a que se refiere este artículo y acepta la responsabilidad derivada de ello ante los interesados y las autoridades de control.

Artículo 4. Cumplimiento de leyes y regulaciones

El Encargado del Tratamiento actuará, al tratar los datos personales tal como se describe en el artículo 2 y en el anexo aplicable, de conformidad con el RGPD y demás leyes y regulaciones aplicables en materia de protección de datos.

Artículo 5. Responsabilidad

El Encargado del Tratamiento es responsable de los daños directos derivados del incumplimiento imputable de este acuerdo de encargo de tratamiento, así como de los relacionados con una infracción imputable del RGPD y de todas las demás normativas europeas de privacidad y autorregulaciones vigentes. Por daño directo se entenderá exclusivamente: los costes razonables incurridos para lograr que la prestación defectuosa del Encargado del Tratamiento cumpla con el acuerdo de encargo de tratamiento, en la medida en que estos puedan ser imputados al Encargado del Tratamiento.
El Encargado del Tratamiento nunca será responsable de daños indirectos, daños consecuenciales, daños a la imagen, lucro cesante, pérdida de ingresos o ahorros y/o reducción del fondo de comercio (goodwill).
La responsabilidad total del Encargado del Tratamiento por cualquier concepto se limita al importe que en el caso aplicable sea efectivamente indemnizado por el asegurador de responsabilidad civil del Encargado del Tratamiento.
Si el asegurador del Encargado del Tratamiento no procede a la indemnización y, a pesar de ello, el Encargado del Tratamiento estuviera obligado a indemnizar el daño en virtud de una sentencia, el alcance de la responsabilidad del Encargado del Tratamiento se limitará al total de los importes facturados que hayan sido pagados por el Cliente al Encargado del Tratamiento durante un período máximo de 12 meses anteriores al suceso.
Lo dispuesto en este artículo se aplica asimismo con respecto a las personas (físicas o jurídicas) contratadas por el Encargado del Tratamiento para la ejecución de la prestación de servicios.
Las limitaciones y exclusiones indicadas en este artículo quedarán sin efecto en caso de dolo o imprudencia temeraria por parte de la dirección del Encargado del Tratamiento.

Artículo 6. Medidas de seguridad e inspección

El Encargado del Tratamiento adoptará, mantendrá, evaluará y, si es necesario, adaptará y actualizará las medidas técnicas y organizativas adecuadas para proteger los datos personales contra la pérdida, el robo o contra cualquier forma de tratamiento ilícito. Dichas medidas garantizarán, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento, el estado de la técnica y los costes de aplicación, un nivel de seguridad adecuado considerando la probabilidad y gravedad de los diferentes riesgos que conlleva el tratamiento de los datos personales a proteger, y cumplirán con lo dispuesto en el artículo 32 del RGPD.
A solicitud del Cliente, el Encargado del Tratamiento pondrá a disposición toda la información necesaria para demostrar el cumplimiento de lo dispuesto en el apartado 1.
El Encargado del Tratamiento solo tratará o hará tratar datos personales en el Espacio Económico Europeo (EEE). No obstante, si el Encargado del Tratamiento desea tratar o hacer tratar los datos personales del Cliente fuera del Espacio Económico Europeo, lo hará o hará hacer con el consentimiento previo y por escrito del Cliente y exclusivamente en países que hayan sido designados por la Comisión Europea como países con un nivel de protección adecuado o que ofrezcan un nivel de protección adecuado mediante medidas adicionales.
El Encargado del Tratamiento permitirá al Cliente realizar o hacer realizar una auditoría una vez al año, con el fin de verificar lo dispuesto en este acuerdo de encargo de tratamiento. El Encargado del Tratamiento prestará su colaboración y pondrá a disposición a tiempo toda la información relevante para la auditoría que sea necesaria para demostrar el cumplimiento de las obligaciones establecidas en el acuerdo de encargo de tratamiento.
El Cliente no realizará ninguna auditoría a los Subencargados del Tratamiento, ya que el Encargado del Tratamiento es responsable de ello por sí mismo.
Las personas que realicen una auditoría se atendrán a los procedimientos de seguridad vigentes en las instalaciones del Encargado del Tratamiento. Los costes de una auditoría correrán íntegramente a cargo del Cliente, a menos que de la auditoría se desprenda que el Encargado del Tratamiento ha actuado de forma imputable en infracción de este acuerdo de encargo de tratamiento en puntos no menores.
El Cliente limitará la auditoría a lo establecido en este acuerdo de encargo de tratamiento y a los tratamientos de datos y datos personales del Cliente. Los tratamientos de datos que el Encargado del Tratamiento realice para otros Clientes quedan excluidos de esta auditoría. El Cliente mantendrá la confidencialidad de toda la información de la que tenga conocimiento durante la auditoría. Esto se aplica igualmente al tercero contratado por el Cliente que realice la auditoría. El Cliente se asegurará de que los procesos de trabajo normales del Encargado del Tratamiento no se vean interrumpidos durante una auditoría e informará al Encargado del Tratamiento con la debida antelación sobre la planificación de una auditoría.

Artículo 7. Obligación de notificación de brechas de seguridad de datos

Si el Encargado del Tratamiento, al tratar los datos personales, tiene conocimiento de una brecha de seguridad de datos (filtración de datos), lo notificará al Cliente a más tardar dentro de las 48 horas posteriores a su detección. Mientras tanto, el Encargado del Tratamiento adoptará todas las medidas técnicas y organizativas posibles para detener, prevenir y/o solucionar la brecha de seguridad. Al realizar la notificación, el Encargado proporcionará información (en la medida en que se conozca) sobre la naturaleza de la brecha, el tipo de datos personales afectados, las medidas técnicas de protección y otros hechos y circunstancias relevantes que sean importantes para determinar si el Cliente debe informar a la autoridad de control y/o a los interesados.
El Encargado del Tratamiento completará en su totalidad el Anexo 2 'Notificación de brecha de seguridad de datos por el Encargado del Tratamiento' y lo enviará digitalmente al Cliente. El Cliente es responsable de notificar de inmediato al Encargado del Tratamiento si se produce algún cambio al respecto. El Encargado del Tratamiento presumirá la exactitud de la información facilitada por el Cliente.
El Encargado del Tratamiento documentará todas las brechas de datos e incidentes de seguridad. La documentación se facilitará previa solicitud por escrito del Cliente, con el fin de garantizar que el Cliente pueda presentarla ante la Autoridad de Protección de Datos (Autoriteit Persoonsgegevens).
Si existiera la obligación de realizar una notificación a la autoridad de control o de informar a los interesados, esto será realizado exclusivamente por el Cliente. El Encargado del Tratamiento prestará su colaboración para ello.
El Encargado del Tratamiento, teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga, prestará asistencia al Cliente para el cumplimiento de las obligaciones derivadas de los artículos 35 (evaluación de impacto relativa a la protección de datos) y 36 (consulta previa) del RGPD.

Artículo 8. Contratación de Subencargados del Tratamiento

No está permitido que el Encargado del Tratamiento recurra a un Subencargado del Tratamiento en el marco de este acuerdo, a menos que el Cliente haya otorgado su consentimiento previo por escrito.
Si el Encargado del Tratamiento desea tratar los datos personales fuera del Espacio Económico Europeo, esto solo podrá realizarse en países que hayan sido designados por la Comisión Europea como países con un nivel de protección adecuado o que ofrezcan un nivel de protección adecuado mediante medidas adicionales.
El Cliente autoriza al Encargado del Tratamiento a contratar a los Subencargados del Tratamiento indicados en el anexo aplicable.
El Subencargado del Tratamiento ofrecerá garantías suficientes respecto a la aplicación de medidas técnicas y organizativas apropiadas, de manera que el tratamiento cumpla con lo dispuesto en este acuerdo de encargo de tratamiento y en el RGPD.
Si el Encargado del Tratamiento ha contratado a un Subencargado, el Encargado será plenamente responsable del cumplimiento de todas las obligaciones por parte de dicho Subencargado. El Encargado del Tratamiento impondrá al Subencargado, mediante contrato escrito, las mismas obligaciones que se derivan para él de este acuerdo de encargo de tratamiento, de modo que el Subencargado también quede vinculado por estas disposiciones.
El Encargado del Tratamiento debe mantener una lista de los Subencargados, incluyendo las tareas que deben realizar.
Las empresas farmacéuticas, instituciones científicas y organismos públicos que reciban datos en el marco del artículo 3 de este acuerdo no se califican como subencargados en el sentido de este artículo, ya que no actúan por cuenta o bajo las instrucciones del Encargado, sino que tratan los datos para sus propios fines. A esta entrega de datos se aplicará exclusivamente el artículo 3.

Artículo 9. Obligación de confidencialidad

El Encargado del Tratamiento, su personal y los terceros que contrate están obligados a mantener la confidencialidad de los datos personales de los que tengan conocimiento.
El Encargado del Tratamiento solo concederá acceso a los datos personales a sus empleados y a los terceros que contrate en la medida en que sea necesario para la realización del tratamiento de datos encomendado por el Cliente.
El Encargado del Tratamiento obligará de manera demostrable a las personas a su servicio o que realicen trabajos para él a mantener la confidencialidad, incluyendo una política de sanciones, respecto a los datos personales de los que puedan tener conocimiento.
La obligación de confidencialidad del Encargado del Tratamiento solo podrá romperse cuando una disposición legal le obligue a la entrega de datos personales o cuando el responsable designado para ello por el Cliente haya indicado al Encargado la necesidad de proceder a dicha entrega.
Si una autoridad de control del Cliente solicita la inspección del tratamiento de datos, el Encargado del Tratamiento prestará toda la colaboración necesaria para que el Cliente pueda cumplir con sus obligaciones.
La obligación de confidencialidad se aplica tanto durante como después de la finalización de los trabajos y continuará vigente incluso después de la terminación de este acuerdo de encargo de tratamiento.
El Encargado del Tratamiento informará al Cliente sobre cualquier solicitud de acceso, entrega u otra forma de requerimiento y comunicación de los datos personales, a menos que la legislación prohíba dicha notificación por razones importantes de interés público.

Artículo 10. Derechos de los interesados

Si un interesado ejerce alguno de sus derechos en virtud de los artículos 15 a 22 del RGPD ante el Encargado del Tratamiento, el Encargado del Tratamiento enviará dicha solicitud al Cliente a la mayor brevedad posible.
El Encargado del Tratamiento prestará asistencia completa y oportuna al Cliente en el cumplimiento de su obligación de responder a las solicitudes de los interesados. Los costes asociados a esto correrán a cargo del Cliente.

Artículo 11. Disposiciones finales

No se aplican condiciones generales a este acuerdo de encargo de tratamiento. Se aplica el derecho neerlandés. Se excluye la aplicabilidad de la Convención de Viena sobre la Compraventa Internacional de Mercaderías. Los litigios se someterán al Tribunal de Distrito del distrito donde el Encargado del Tratamiento tenga su domicilio social.
Si en otro acuerdo o documento entre el Cliente y el Encargado del Tratamiento se incluyen disposiciones que difieran de lo establecido en este acuerdo de encargo de tratamiento, prevalecerá lo dispuesto en este acuerdo de encargo de tratamiento.
Las modificaciones de este acuerdo de encargo de tratamiento solo serán válidas si se han acordado por escrito entre las Partes. Las Partes no tienen derecho a transferir el presente acuerdo de encargo de tratamiento a un tercero.
Este acuerdo de encargo de tratamiento entra en vigor en el momento en que es firmado por las Partes y tiene una duración igual a la del contrato principal. Este acuerdo de encargo de tratamiento no podrá ser rescindido por separado de forma anticipada.
Los artículos del acuerdo de encargo de tratamiento que, por su naturaleza, estén destinados a seguir siendo aplicables tras la finalización del mismo, incluidos, entre otros, el artículo relativo a la responsabilidad, continuarán vigentes plenamente.

Anexo 1 - Tratamiento de datos por The MedGuide Company B.V.

Actividades

Las siguientes actividades serán realizadas por el Encargado del Tratamiento:

El análisis, priorización y reporte de problemas farmacoterapéuticos para los pacientes del Cliente mediante un análisis farmacoterapéutico.
La presentación de resultados al Cliente en un panel de resultados en línea.
La puesta a disposición de los resultados de la investigación para su exportación desde el panel de resultados en línea por parte del Cliente.
La generación de datos de análisis seudonimizados o anonimizados para su posterior entrega a terceros con fines de investigación farmacéutica, investigación científica o fines políticos de organismos públicos.

Interesados

Pacientes del Cliente.

Datos personales

El Encargado del Tratamiento recibirá para ello los siguientes datos personales:

Número de paciente
Nombre
Dirección
Ciudad
Dirección de correo electrónico
Número de teléfono
Género
Edad o fecha de nacimiento
Datos personales adicionales necesarios para la prestación de los servicios

El Cliente se asegurará de que, en el marco del tratamiento acordado de datos personales, no se faciliten más datos personales de los estrictamente necesarios para la ejecución del contrato.

Plazos de conservación

Archivos de datos
Para evitar conservar innecesariamente datos de clientes en los servidores de la Plataforma MedGuide, los archivos de datos, en caso de ser facilitados de forma automatizada, se eliminarán después de 30 días.

Subencargados del Tratamiento dentro del Espacio Económico Europeo
El Cliente autoriza la contratación de los siguientes Subencargados del Tratamiento establecidos dentro del Espacio Económico Europeo:

Nombre		Dirección		Tratamientos
Microsoft Países Bajos		Evert van Beekstraat 354, 1118 CZ Schiphol		MS Azure

Subencargados del Tratamiento fuera del Espacio Económico Europeo
El Cliente autoriza la contratación de los siguientes Subencargados del Tratamiento establecidos fuera del Espacio Económico Europeo:

No aplicable.

Anexo 2 - Notificación de filtración de datos por el Encargado

Notificación de filtración de datos por parte del Encargado

La notificación es realizada por el Encargado al Responsable dentro de las 48 horas posteriores al descubrimiento de una filtración de datos por parte del Encargado. Las actualizaciones del formulario de preguntas se pondrán a disposición del Responsable lo antes posible.

Anexo 3 - Regulación de la entrega posterior a terceros

Este anexo desarrolla detalladamente la entrega posterior de datos seudonimizados o anonimizados por parte del Encargado del Tratamiento a terceros, tal como se contempla en el artículo 2, apartado 4, y en el artículo 3 (Entrega posterior a terceros) del Acuerdo de encargo de tratamiento. Por lo tanto, este anexo constituye el marco de ejecución en el que se lleva a cabo efectivamente la entrega posterior y mediante el cual MedGuide puede demostrar la diligencia debida y la rendición de cuentas requeridas (accountability, art. 5, apartado 2 del RGPD).

1. Categorías de destinatarios autorizados y base jurídica aplicable

MedGuide entregará datos de análisis seudonimizados o anonimizados exclusivamente a las categorías de destinatarios que se mencionan a continuación, y únicamente sobre la base de la base jurídica especificada para cada una de ellas. Antes de realizar cualquier entrega posterior a un (nuevo) destinatario, MedGuide determinará por escrito que se cumple la base jurídica aplicable y lo registrará en el expediente de documentación a que se refiere el artículo 3.1 sub A y C del Acuerdo de encargo de tratamiento.

Categoría de destinatario	Finalidad de la entrega	Base jurídica aplicable
Empresas farmacéuticas	Investigación farmacéutica, incluyendo estudios de eficacia y seguridad y farmacovigilancia	Interés legítimo (art. 6, apartado 1, letra f del RGPD), en combinación con la excepción para fines de investigación del art. 9, apartado 2, letra j del RGPD en relación con el art. 24 de la UAVG en la medida en que los datos estén seudonimizados; si los datos están totalmente anonimizados, el RGPD no es aplicable
Instituciones científicas (universidades, institutos de investigación)	Investigación científica sobre polifarmacia, seguridad de los medicamentos y eficacia de la atención farmacéutica	Art. 9, apartado 2, letra j del RGPD en relación con el art. 24 de la UAVG, respetando las garantías del art. 89 del RGPD (minimización de datos y seudonimización)
Organismos públicos (entre otros, IGJ, RIVM, Ministerio de VWS)	Fines políticos y seguimiento de la salud pública	Obligación legal (art. 6, apartado 1, letra c del RGPD) cuando exista una obligación concreta de facilitar información, o cumplimiento de una misión realizada en interés público (art. 6, apartado 1, letra e del RGPD); en su defecto, se recurrirá a la anonimización (adicional)

Esta lista es limitativa: no se permite la entrega posterior a categorías de destinatarios distintas de las mencionadas anteriormente sin la modificación previa por escrito de este anexo.

2. Disposiciones contractuales obligatorias con los destinatarios

Antes de realizar cualquier entrega posterior, MedGuide celebrará un acuerdo por escrito con el destinatario correspondiente. Este acuerdo contendrá, al menos, las siguientes disposiciones:

Limitación de la finalidad: el destinatario únicamente podrá utilizar los datos facilitados para el fin específico acordado (por ejemplo, el proyecto de investigación concreto) y para ningún otro fin.
Prohibición de reidentificación: se prohíbe expresamente al destinatario intentar identificar a los interesados, combinar los datos con otros archivos o fuentes con el fin de lograr la reidentificación, o descifrar o eludir la técnica de seudonimización o anonimización aplicada (ingeniería inversa).
Requisitos de seguridad: el destinatario adoptará las medidas técnicas y organizativas adecuadas que sean al menos equivalentes al nivel que la propia MedGuide aplica de conformidad con el artículo 5 del Acuerdo de encargo de tratamiento y el artículo 32 del RGPD.
Derecho de auditoría: MedGuide se reserva el derecho de verificar, por sí misma o a través de un tercero independiente, el cumplimiento de las obligaciones acordadas, con una frecuencia regular de al menos una vez cada dos años y, además, cuando exista una causa justificada.
Prohibición de entrega posterior: el destinatario no podrá facilitar ni sublicenciar los datos a ninguna otra parte sin el consentimiento previo por escrito de MedGuide.
Obligación de notificación: el destinatario informará a MedGuide de inmediato, y en todo caso dentro de las 24 horas siguientes, si sospecha que los datos, a pesar de la seudonimización o anonimización, resultan identificables para una persona física, o si se produce un incidente de seguridad.
Plazo de conservación y destrucción: el destinatario no conservará los datos más tiempo del necesario para el fin acordado y procederá a su destrucción o devolución al finalizar la investigación, o al primer requerimiento por escrito de MedGuide.
Transferencia fuera del EEE: únicamente permitida si el destinatario está establecido en, o la transferencia se realiza hacia, un país con un nivel de protección adecuado en el sentido del Capítulo V del RGPD, o si se han acordado las garantías adicionales adecuadas (como cláusulas contractuales tipo).
Indemnización y responsabilidad: el destinatario indemnizará a MedGuide por cualquier daño que se derive del incumplimiento de las obligaciones mencionadas anteriormente.

3. Procedimiento para la revisión periódica de la metodología de anonimización o seudonimización

Frecuencia. MedGuide evaluará la metodología de anonimización o seudonimización aplicada al menos una vez al año. Se realizará una revisión extraordinaria en caso de (i) un cambio relevante en el conjunto de datos subyacente o en el proceso de análisis, (ii) desarrollos relevantes en el estado de la técnica en relación con los riesgos de reidentificación, o (iii) una señal concreta conforme a lo dispuesto en el capítulo 4 de este anexo.

Responsable técnico. El Security Officer de MedGuide es responsable de iniciar, ejecutar y documentar la revisión, cuando proceda, en coordinación con el Delegado de Protección de Datos.

Criterios de evaluación. La revisión incluirá en todo caso: una prueba del intruso motivado (la probabilidad de que un tercero motivado pueda lograr la reidentificación con un esfuerzo razonable), una evaluación del riesgo residual de reidentificación (cuando corresponda mediante métricas como k-anonimato o l-diversidad), una valoración sobre la disponibilidad de fuentes de datos adicionales (públicas) que, en combinación con los datos entregados, pudiesen permitir la identificación, y las consecuencias de los desarrollos tecnológicos en el nivel de protección.

Documentación. El resultado de cada revisión se registrará por escrito en un informe de evaluación que contendrá el método utilizado, las conclusiones y las posibles acciones de seguimiento. Este informe se presentará a solicitud del Cliente o de una autoridad de control, de conformidad con el artículo 3.1 sub C del Acuerdo de encargo de tratamiento.

Acciones de seguimiento. Si la revisión muestra que la metodología utilizada ya no ofrece un nivel de protección adecuado, la entrega posterior a la(s) categoría(s) de destinatario(s) afectada(s) se suspenderá de inmediato hasta que la metodología haya sido adaptada y validada de nuevo.

4. Procedimiento de escalada ante la sospecha de que los datos entregados resulten identificables

Paso 1 - Notificación y suspensión inmediata. Cualquier notificación interna o externa de sospecha de identificabilidad se comunicará de inmediato, y a más tardar dentro de las 24 horas siguientes a su detección, al Security Officer a través de security@themedguidecompany.com. Desde el momento de la notificación, se suspenderá de inmediato cualquier entrega posterior del conjunto de datos afectado al o los destinatarios implicados.

Paso 2 - Evaluación inicial. El Security Officer, en colaboración con los expertos técnicos pertinentes, evaluará dentro de las 48 horas siguientes a la notificación si la sospecha está fundada y si realmente existe una identificabilidad (potencial) de personas físicas.

Paso 3 - Calificación como brecha de seguridad. Si la sospecha resulta fundada, esto se calificará como una brecha de seguridad de datos personales (filtración de datos) en el sentido del artículo 6 del Acuerdo de encargo de tratamiento. Se aplicará plenamente la obligación habitual de notificación de brechas de seguridad: notificación al Cliente dentro de las 48 horas posteriores a su detección, utilizando el formulario del Anexo 2.

Paso 4 - Medidas de subsanación. MedGuide adoptará sin demora las medidas adecuadas para evitar cualquier identificación posterior. Dependiendo de la naturaleza del incidente, esto puede incluir: exigir la destrucción de los datos al destinatario afectado, reforzar la metodología de anonimización o seudonimización de conformidad con el capítulo 3 de este anexo, e informar a los demás destinatarios sobre posibles obligaciones adicionales.

Paso 5 - Documentación y seguimiento. Todo el incidente, incluidos los pasos dados, los destinatarios implicados y el resultado de la investigación, se documentará y se registrará en el registro de brechas de seguridad de MedGuide. Cuando sea necesario, el acuerdo con el destinatario afectado será modificado, suspendido o resuelto.

Este documento se actualizó por última vez el 15 de julio de 2026.

Acuerdo de procesamiento de datos

Anexo 1 - Tratamiento de datos por The MedGuide Company B.V.

Anexo 2 - Notificación de filtración de datos por el Encargado

Formulario de notificación

1. Personas de contacto

Persona de contacto del Encargado

2. ¿Es este un seguimiento de una notificación anterior?

3. Al responder 'sí' a la pregunta anterior: ¿cuándo se realizó la notificación original?

4. Al responder 'sí' a la pregunta 2: ¿cuál es el alcance de la notificación de seguimiento?

5. Al elegir la opción B en la pregunta 4: ¿cuál es el motivo de la retirada?

6. Proporcione un resumen del Incidente en el que se produjo la vulneración de la seguridad de los datos personales.

7. ¿Cuántas personas tienen datos personales involucrados en la vulneración?

8. Describa el grupo de personas cuyos datos personales están involucrados en la vulneración.

9. ¿Cuándo se produjo la vulneración?

10. ¿Cuándo se descubrió la vulneración?

11. ¿Cuál es la naturaleza de la vulneración?

12. ¿Qué tipos de datos personales están involucrados?

13. ¿Qué consecuencias puede tener la vulneración para la privacidad del afectado?

14. ¿Qué medidas técnicas y organizativas ha tomado su organización para abordar la vulneración y prevenir nuevas vulneraciones?

15. ¿Cuándo se notificó la filtración de datos al Responsable?

16. ¿Qué medio se utilizó para realizar la notificación?

17. ¿Los datos personales han sido cifrados, hasheados o de alguna otra manera incomprensibles o inaccesibles para personas no autorizadas?

18. Si los datos personales han sido total o parcialmente incomprensibles o inaccesibles, ¿de qué manera se ha hecho?

19. ¿Considera que esta notificación está completa?

20. Cierre

21. El formulario fue recibido por el Responsable el

Anexo 3 - Regulación de la entrega posterior a terceros