Contrato de encargado del tratamiento de Sanaro Pro

Contrato entre el centro que usa Sanaro Pro y Zylaris Software S.L. para el tratamiento de los datos personales que el centro registra. Última actualización: 22 de octubre de 2026. Versión 1.

1. Partes

Responsable del tratamiento: el centro identificado en el alta de Sanaro Pro (razón social, NIF/CIF y domicilio según los datos introducidos al crear el centro), representado por la persona administradora que acepta este contrato (en adelante, «el Responsable»).

Encargada del tratamiento: Zylaris Software S.L., CIF B75957613, calle Melchor Cano, n.º 1, 28008 Madrid (Madrid), inscrita en el Registro Mercantil de Madrid, hoja M-846.398, inscripción 1.ª, correo info@zylaris.es (en adelante, «la Encargada»).

2. Objeto

La Encargada tratará por cuenta del Responsable los datos personales necesarios para prestar el servicio Sanaro Pro conforme a los Términos del servicio: recibir alertas oficiales sobre productos sanitarios que afectan al catálogo del Responsable, registrar su difusión interna, generar el informe de cierre y gestionar la vinculación de pacientes mediante QR y tarjeta de implante.

Este contrato desarrolla el art. 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Prevalece sobre los Términos del servicio en materia de protección de datos.

3. Descripción del tratamiento

Se detalla en el Anexo I: naturaleza y finalidad, tipos de datos, categorías de interesados y duración.

4. Duración

Desde la aceptación hasta la terminación del servicio, y después durante el plazo necesario para devolver o suprimir los datos según la cláusula 11.

5. Obligaciones de la Encargada

La Encargada se obliga a:

5.1 Instrucciones. Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, que son este contrato y el uso del servicio por parte del Responsable. Si considera que una instrucción infringe la normativa de protección de datos, se lo comunicará de inmediato. Si la ley le obliga a tratar los datos de otro modo, se lo comunicará salvo que esté prohibido.

5.2 Finalidad. No usar los datos para fines propios ni distintos de los pactados, ni comunicarlos a terceros salvo a los subencargados autorizados.

5.3 Confidencialidad. Garantizar que las personas autorizadas a tratar los datos están sujetas a un deber de confidencialidad, también tras terminar la relación.

5.4 Seguridad. Aplicar las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo (art. 32 RGPD), incluidas las propias de datos de salud.

5.5 Subencargados. Cumplir la cláusula 7.

5.6 Derechos de los interesados. Asistir al Responsable, con medidas técnicas y organizativas, para atender el ejercicio de derechos. Si un interesado se dirige directamente a la Encargada, ésta se lo trasladará al Responsable en un plazo máximo de 3 días hábiles y no responderá salvo instrucción.

5.7 Violaciones de seguridad. Notificar al Responsable sin dilación indebida y, siempre que sea posible, en un plazo de 48 horas desde que tenga conocimiento de una violación de seguridad de los datos, con la información disponible: naturaleza, categorías y número aproximado de afectados, consecuencias probables y medidas adoptadas o propuestas. La notificación a la AEPD y a los interesados corresponde al Responsable.

5.8 Asistencia. Asistir al Responsable en las evaluaciones de impacto y consultas previas (arts. 35 y 36 RGPD) y en el cumplimiento del art. 32, en lo que se refiera al servicio.

5.9 Registro y auditoría. Mantener el registro de actividades de tratamiento como encargada (art. 30.2 RGPD) y un registro de auditoría de los cambios, las exportaciones y los vínculos con pacientes sobre los datos del centro, accesible al administrador del centro en la sección Actividad.

5.10 Protección de datos. El punto de contacto en materia de protección de datos es info@zylaris.es.

5.11 Demostración del cumplimiento. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías según la cláusula 9.

6. Obligaciones del Responsable

El Responsable se obliga a:

6.1 Tener base legal para los datos que registra y para las instrucciones que da, incluido, cuando proceda, el tratamiento de categorías especiales (art. 9 RGPD).

6.2 Informar a sus pacientes y clientes (arts. 13 y 14 RGPD) sobre el uso de Sanaro Pro y la intervención de la Encargada.

6.3 Introducir solo los datos necesarios y mantenerlos exactos; no introducir nombre completo, DNI ni datos de historia clínica.

6.4 Gestionar los accesos de su equipo (altas, roles y bajas) y custodiar las cuentas de correo con las que se accede.

6.5 Atender los derechos de los interesados y notificar las violaciones de seguridad a la autoridad y a los afectados cuando corresponda.

6.6 Cumplir la normativa sanitaria que le sea aplicable. Sanaro Pro es una herramienta de apoyo y no sustituye sus obligaciones.

6.7 Datos fuera del servicio. Los datos que el Responsable, o cualquier persona con acceso a su cuenta, extraiga, exporte, descargue, copie o comunique fuera de Sanaro Pro (por ejemplo, con las exportaciones en CSV o PDF, con capturas de pantalla o enviándolos a terceros) dejan de estar bajo el control de la Encargada. Su custodia, su tratamiento posterior y sus consecuencias, incluidas la pérdida, el acceso no autorizado o la comunicación a terceros, son responsabilidad exclusiva del Responsable.

7. Subencargados

7.1 El Responsable da una autorización general para los subencargados del Anexo III.

7.2 La Encargada informará al Responsable de cualquier alta o sustitución con al menos 30 días de antelación, mediante aviso en la aplicación o por correo al administrador y actualización del Anexo III de este contrato. El Responsable podrá oponerse por motivos razonables de protección de datos en ese plazo. Si no se llega a una solución, podrá resolver el contrato, sin derecho a reembolso del periodo ya iniciado, conforme a los Términos del servicio.

7.3 La Encargada impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato y responderá ante el Responsable del incumplimiento de aquél.

8. Transferencias internacionales

Los datos del servicio se alojan en la Unión Europea. La Encargada no transferirá datos fuera del Espacio Económico Europeo salvo instrucción documentada del Responsable o cuando sea necesaria para un subencargado del Anexo III, y solo con una garantía válida del Capítulo V del RGPD (decisión de adecuación, cláusulas contractuales tipo u otra). Es el caso de las notificaciones push (Google y Apple), que reciben únicamente un identificador de dispositivo y un contenido genérico, sin datos de salud.

9. Auditoría

El Responsable podrá comprobar el cumplimiento de este contrato, como máximo una vez al año salvo incidente o requerimiento de una autoridad, con preaviso de 30 días y sin perjudicar la seguridad ni los datos de otros clientes. La Encargada podrá atender la solicitud con documentación, informes o certificaciones de terceros, y las auditorías presenciales se harán a cargo del Responsable.

10. Responsabilidad

Cada parte responde frente a los interesados y las autoridades según los arts. 82 y siguientes del RGPD, cada una por los incumplimientos que le sean imputables. La Encargada no responde de los daños derivados de lo previsto en la cláusula 6.7, de las instrucciones del Responsable ni del uso indebido de las cuentas y credenciales de su equipo. Entre las partes, la responsabilidad de la Encargada se rige por los Términos del servicio.

11. Fin del servicio: devolución y supresión

11.1 Al terminar el servicio, el Responsable podrá exportar sus registros (CSV y PDF) y solicitar la devolución de sus datos durante 30 días. El Responsable deberá decidir antes de eliminar el centro, porque los registros de difusión no se borran automáticamente, salvo que el Responsable haya fijado un plazo de conservación (mínimo 10 años desde el cierre de la alerta).

11.2 Pasado ese plazo, o al eliminar el centro, la Encargada suprimirá los datos y destruirá las claves de cifrado asociadas. Las copias de seguridad caducan de forma automática en un máximo de 30 días.

11.3 La Encargada podrá conservar, bloqueados, los datos que una ley le obligue a mantener, solo durante el tiempo legal y para atender posibles responsabilidades.

12. Duración, modificación y ley aplicable

Este contrato se mantiene mientras el Responsable use Sanaro Pro. La Encargada podrá actualizarlo por cambios legales o del servicio, avisando con 30 días de antelación; si el Responsable no está de acuerdo con un cambio relevante, podrá resolver el contrato. Se rige por la legislación española. Las partes se someten a los juzgados y tribunales de Madrid, salvo fuero imperativo.

Aceptado electrónicamente por la persona administradora del centro al crearlo. Se conservan fecha, hora, usuario y versión.

Anexo I. Descripción del tratamiento

Anexo II. Medidas de seguridad

La Encargada podrá actualizar estas medidas siempre que no reduzca el nivel de seguridad.

Cifrado. Datos sensibles cifrados por columna; cifrado en tránsito (TLS); índices ciegos (HMAC) para buscar sin descifrar; claves separadas del dato.

Aislamiento. Cada centro solo accede a sus propios datos mediante políticas de seguridad a nivel de fila (RLS) en la base de datos.

Control de acceso. Acceso sin contraseña mediante enlace de un solo uso al correo con caducidad de 15 minutos; roles (administrador, responsable de vigilancia y miembro) con permisos mínimos. Doble factor (TOTP) obligatorio para los administradores en las acciones sobre el equipo, la facturación y la eliminación del centro.

Auditoría. Registro de los cambios, las exportaciones y los vínculos con pacientes, consultable por el administrador en la sección Actividad.

Ubicación. Alojamiento en la Unión Europea (Supabase, región eu-central-1).

Notificaciones. Contenido genérico, sin nombre de producto ni datos de salud en pantalla de bloqueo.

Continuidad. Copias de seguridad cifradas, que caducan de forma automática en un máximo de 30 días.

Organizativas. Acceso del personal de la Encargada limitado y registrado; compromiso de confidencialidad.

Gestión de incidentes. Procedimiento de detección y notificación según la cláusula 5.7.

Anexo III. Subencargados autorizados

Stripe no es subencargado de este contrato. El cobro de la suscripción y los datos de pago los gestiona Stripe Payments Europe, Ltd. (Irlanda, UE) como responsable del tratamiento de esos datos, con su propia política de privacidad y bajo su responsabilidad. La Encargada no recibe ni guarda datos de tarjeta ni de cuenta bancaria, y a Stripe no se envía ningún dato de pacientes.