Anexo de Tratamiento de Datos

Este DPA forma parte de los Términos de Servicio entre SmileMaxer LLC (el "Encargado") y la Clínica (el "Responsable") y se aplica siempre que SmileMaxer trate datos personales en nombre de la Clínica que estén sujetos al GDPR, al UK GDPR, a la FADP suiza o a leyes similares. Se incorpora automáticamente a los Términos para tales Clínicas; no se requiere firma. ¿Necesita una copia firmada por ambas partes? Escriba a legal@readymaxer.com.

Respecto de los datos del equipo que la Clínica ingresa o genera (nombres de miembros, departamentos, salas, dispositivos, señales, registros de actividad, entradas de la Digital Line), la Clínica es el responsable y SmileMaxer es el encargado. Respecto de las cuentas de administrador, la facturación y los datos del sitio web, SmileMaxer es un responsable independiente conforme a la Política de Privacidad, y este DPA no se aplica.

Objeto y duración: prestar ReadyMaxer durante el plazo de la suscripción. Naturaleza y finalidad: alojar, almacenar, transmitir y mostrar los datos de señalización del equipo; notificaciones push; inicio de sesión y vinculación; el registro de actividad de la Clínica. Interesados: el personal y los administradores de la Clínica; los visitantes que se unen a su Digital Line. Datos personales: nombres de pila o nombres para mostrar; departamento y estado de turno; nombres, modelos y tokens push de dispositivos; registros de señales con marcas de tiempo y notas breves opcionales; nombres de la Digital Line. Ninguna categoría especial: el servicio prohíbe ingresar información de pacientes o de salud, y la Clínica acepta no enviar ninguna.

SmileMaxer: (1) tratará los datos únicamente conforme a las instrucciones documentadas de la Clínica (los Términos, este DPA y el uso de los controles del servicio), salvo que la ley lo exija, informando a la Clínica salvo que la ley lo prohíba; (2) obligará a las personas autorizadas a la confidencialidad; (3) implementará las medidas técnicas y organizativas siguientes; (4) respetará las condiciones sobre subencargados de la Sección 4; (5) asistirá a la Clínica con las solicitudes de los interesados y, considerando la información disponible, con las obligaciones de seguridad, notificación de violaciones y evaluación de impacto; (6) notificará a la Clínica sin demora indebida tras conocer una violación de datos personales que afecte a sus datos; (7) al finalizar el servicio, eliminará los datos personales de la Clínica dentro de los 60 días, salvo cuando la ley exija su conservación; y (8) pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento y, a costa de la Clínica y como máximo una vez al año, permitirá auditorías (que pueden satisfacerse con documentación e informes de terceros).

La Clínica autoriza de forma general a los subencargados enumerados en readymaxer.com/subprocessors. Actualizaremos esa página al menos 15 días antes de agregar o reemplazar un subencargado; la Clínica puede oponerse por motivos razonables de protección de datos en legal@readymaxer.com y, a falta de solución, cancelar su suscripción. Imponemos a los subencargados obligaciones de protección de datos coherentes y seguimos siendo responsables de su desempeño.

El servicio está alojado en los Estados Unidos. Cuando se requiera un mecanismo de transferencia, las partes incorporan las Cláusulas Contractuales Tipo de la UE (2021/914, Módulo Dos, de responsable a encargado), la Clínica como exportadora y SmileMaxer como importadora, con: Cláusula 7 incluida; Cláusula 9(a) Opción 2 con 15 días de aviso; texto opcional de la Cláusula 11 omitido; Cláusula 17 Opción 1 (derecho irlandés); Cláusula 18 (tribunales de Irlanda). El Anexo I es la Sección 2 más los datos de las cuentas de las partes; el Anexo II son las medidas siguientes; el Anexo III es la página de subencargados. Transferencias del Reino Unido: se aplica la Adenda internacional de transferencia de datos del Reino Unido (B1.0) con las tablas completadas por lo anterior; transferencias de Suiza: las Cláusulas adaptadas según el FDPIC.

La responsabilidad de cada parte conforme a este DPA está sujeta a las limitaciones de los Términos, salvo cuando las Leyes de Protección de Datos no lo permitan. Este DPA prevalece sobre los Términos en cuestiones de protección de datos; las Cláusulas prevalecen sobre este DPA.

Todo el transporte cifrado (HTTPS/TLS). Contraseñas cifradas con hash mediante argon2id; tokens de sesión, de dispositivo y de QR almacenados únicamente como hashes SHA-256; códigos de vinculación de un solo uso con vencimiento breve. Minimización de datos por diseño: sin números de teléfono ni correos de miembros; notas limitadas a 200 caracteres y etiquetadas para excluir información de pacientes; sin analítica en el servicio con sesión iniciada. Aislamiento de inquilinos en la capa de aplicación; acceso basado en roles. Atestación de plataforma opcional en endpoints sensibles. Alojamiento en Google Cloud con seguridad física y de red del proveedor; acceso a producción limitado al personal autorizado. IP procesadas de forma transitoria en memoria, no persistidas. Aplicación automática de la conservación: señales finalizadas y entradas de la Digital Line depuradas después de 90 días, registro de actividad después de 12 meses, miembros eliminados anonimizados después de 60 días (Política de Privacidad, sección 8). Controles a disposición de la Clínica: revocación de dispositivos, desactivación de miembros, eliminación de datos, registro de actividad.