Este Anexo de Tratamiento de Datos ("DPA") forma parte de los Términos de Servicio de ReadyMaxer entre SmileMaxer LLC ("SmileMaxer", el "Encargado") y la Clínica (el "Responsable") y se aplica siempre que SmileMaxer trate datos personales en nombre de la Clínica que estén sujetos al GDPR, al UK GDPR, a la FADP suiza o a leyes de protección de datos similares ("Leyes de Protección de Datos"). Se incorpora automáticamente a los Términos para tales Clínicas; no se requiere firma. Las Clínicas que necesiten una copia firmada por ambas partes pueden escribir a legal@readymaxer.com.
1. Alcance y roles
Respecto de los datos del equipo que la Clínica ingresa o genera en ReadyMaxer (nombres de miembros, departamentos, salas, dispositivos, señales, registros de actividad y entradas de la Digital Line), la Clínica es el responsable del tratamiento y SmileMaxer es el encargado del tratamiento. Respecto de las cuentas de administrador, la facturación, los datos del sitio web y los diagnósticos de fallas que una persona decide enviarnos desde su dispositivo, SmileMaxer es un responsable del tratamiento independiente conforme a su Política de Privacidad, y este DPA no se aplica.
2. Detalles del tratamiento
Objeto y duración: prestar el servicio ReadyMaxer durante el plazo de la suscripción de la Clínica.
Naturaleza y finalidad: alojar, almacenar, transmitir y mostrar los datos de señalización del equipo; entregar notificaciones push; inicio de sesión y vinculación de dispositivos; operar las filas digitales anónimas de la Clínica; el propio registro de actividad de la Clínica.
Categorías de interesados: los miembros del personal y los administradores de la Clínica; los visitantes que se unen a la Digital Line de la Clínica.
Categorías de datos personales: nombres de pila o nombres para mostrar; departamento y estado de turno; nombres, modelos y tokens push de dispositivos; registros de señales con marcas de tiempo y notas breves opcionales; códigos no identificativos de la Digital Line generados por el servidor, hashes SHA-256 de tokens del navegador, estado de la fila y marcas de tiempo. Digital Line no solicita ni acepta el nombre, los datos de contacto ni una cuenta del visitante. Ninguna categoría especial de datos: el servicio prohíbe ingresar información de pacientes o de salud, y la Clínica acepta no enviar ninguna.
No incluidos: los diagnósticos de fallas del dispositivo. Cuando una app se cierra de forma inesperada puede enviarnos un reporte generado por la máquina, y solo si la persona que tiene ese dispositivo lo lee y acepta, cada vez (Política de Privacidad, Sección 2). Ese reporte no nombra a ningún integrante, ninguna sala, ningún dispositivo, ninguna Clínica ni ninguna nota, así que no lleva nada que la Clínica controle. SmileMaxer lo trata como responsable, con el consentimiento de esa persona, para corregir su propio software (Sección 1). Los administradores de la clínica nunca ven estos reportes.
3. Obligaciones del encargado
SmileMaxer:
tratará los datos personales únicamente conforme a las instrucciones documentadas de la Clínica (los Términos, este DPA y el uso que haga la Clínica de los controles del servicio constituyen esas instrucciones), salvo que la ley lo exija, en cuyo caso SmileMaxer informará a la Clínica salvo que la ley lo prohíba;
garantizará que las personas autorizadas para tratar los datos estén obligadas a la confidencialidad;
implementará medidas técnicas y organizativas apropiadas, según se describe en el Anexo II;
respetará las condiciones sobre subencargados de la Sección 4;
teniendo en cuenta la naturaleza del tratamiento, asistirá a la Clínica con las solicitudes de los interesados (acceso, supresión y los demás derechos del Capítulo III del GDPR) y, considerando la información disponible, con las obligaciones de la Clínica en materia de seguridad, notificación de violaciones y evaluaciones de impacto sobre la protección de datos;
notificará a la Clínica sin demora indebida tras tener conocimiento de una violación de datos personales que afecte a los datos de la Clínica, con la información razonablemente disponible;
al finalizar el servicio, eliminará los datos personales de la Clínica del servicio activo dentro de los 60 días (salvo cuando la ley exija su conservación), de forma coherente con la Política de Privacidad; los datos eliminados pueden permanecer en copias de seguridad cifradas para recuperación ante desastres durante un máximo de 30 días después de su eliminación del servicio activo, esas copias no se usan para las operaciones ordinarias y, si se restaura una copia, se vuelven a aplicar las obligaciones de eliminación y cierre de cuentas correspondientes; y
pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA y, a costa de la Clínica y no más de una vez al año, permitirá auditorías (que SmileMaxer podrá satisfacer con documentación, resúmenes de seguridad o informes de terceros).
4. Subencargados
La Clínica otorga una autorización general para los subencargados enumerados en readymaxer.com/subprocessors. SmileMaxer actualizará esa página al menos 15 días antes de agregar o reemplazar un subencargado; la Clínica puede oponerse por motivos razonables de protección de datos escribiendo a legal@readymaxer.com y, si no se encuentra una solución, puede cancelar su suscripción. SmileMaxer impone a los subencargados obligaciones de protección de datos coherentes con este DPA y sigue siendo responsable de su desempeño.
5. Transferencias internacionales
El servicio está alojado en los Estados Unidos. Cuando las transferencias de datos personales del EEE, del Reino Unido o de Suiza a SmileMaxer requieran un mecanismo de transferencia, las partes incorporan por referencia las Cláusulas Contractuales Tipo de la UE (Decisión de Ejecución (UE) 2021/914 de la Comisión, Módulo Dos, de responsable a encargado), con la Clínica como exportadora de datos y SmileMaxer como importadora de datos, y:
Cláusula 7 (cláusula de adhesión, "docking") incluida; Cláusula 9(a) Opción 2 con 15 días de aviso; texto opcional de la Cláusula 11 omitido; Cláusula 17 Opción 1 con derecho irlandés; Cláusula 18 tribunales de Irlanda;
el Anexo I es la Sección 2 de este DPA más los datos de las partes tomados de la cuenta de la Clínica; el Anexo II es el Anexo II siguiente; el Anexo III es la página de subencargados;
para las transferencias del Reino Unido, se aplica la Adenda internacional de transferencia de datos del Reino Unido (versión B1.0) con los detalles de la tabla completados por lo anterior; para las transferencias de Suiza, las Cláusulas se aplican con las adaptaciones que requiere el FDPIC.
6. Responsabilidad y orden de prelación
La responsabilidad de cada parte conforme a este DPA está sujeta a las limitaciones de responsabilidad de los Términos, salvo cuando las Leyes de Protección de Datos no lo permitan. Si este DPA entra en conflicto con los Términos, este DPA prevalece en las cuestiones de protección de datos; si las Cláusulas Contractuales Tipo entran en conflicto con este DPA, prevalecen las Cláusulas.
Anexo II: Medidas técnicas y organizativas
Todo el transporte cifrado con HTTPS/TLS.
Contraseñas cifradas con hash mediante argon2id; tokens de sesión, de dispositivo y de QR almacenados únicamente como hashes SHA-256; códigos de vinculación almacenados únicamente como resúmenes HMAC-SHA-256 versionados y con clave, de un solo uso y con vencimiento breve.
Minimización de datos por diseño: sin números de teléfono ni correos electrónicos de miembros; Digital Line no acepta la identidad del visitante y solo usa códigos aleatorios de fila generados por el servidor; notas limitadas a 200 caracteres y etiquetadas para excluir información de pacientes; sin analítica en el servicio con sesión iniciada.
Aislamiento de inquilinos aplicado en la capa de aplicación; acceso basado en roles (propietario, administrador, miembro).
Atestación de plataforma opcional en los endpoints sensibles (Apple App Attest, Google Play Integrity, Cloudflare Turnstile).
Alojamiento en Google Cloud con la seguridad física y de red del proveedor; acceso a producción limitado al personal autorizado.
Copias de seguridad diarias cifradas para recuperación ante desastres en Google Cloud, conservadas durante un máximo de 30 días y accesibles únicamente para recuperación ante desastres; las copias no se usan para las operaciones ordinarias, y las obligaciones de eliminación y cierre de cuentas se vuelven a aplicar después de una restauración.
Direcciones IP procesadas de forma transitoria en memoria para la limitación de tasa; no persistidas.
Aplicación automática de la conservación: señales finalizadas y entradas de la Digital Line depuradas después de 90 días, registro de actividad después de 12 meses, miembros eliminados anonimizados después de 60 días (Política de Privacidad, sección 8).
Controles a disposición de la Clínica: revocación de dispositivos, desactivación de miembros, eliminación de salas y datos, registro de actividad.
Contacto
SmileMaxer LLC, 11 S Eutaw St, Apt 915, Baltimore, MD 21201, USA, legal@readymaxer.com
Preguntas: legal@readymaxer.com · SmileMaxer LLC, 11 S Eutaw St, Apt 915, Baltimore, MD 21201, USA