Anexo sobre el tratamiento de datos (DPA)

Versión: 26/01/2026
Aplicable a: LinkHMS, gestión de clínicas y hospitales SaaS
Partes:

• Procesador: LinkHMS BV (Países Bajos) («LinkHMS»)
• Responsable del tratamiento: La clínica/entidad jurídica que acepta el presente DPA («Cliente»).

Este DPA forma parte de los Términos y condiciones de LinkHMS (los «Términos»). Al aceptar los Términos, el Cliente también acepta este DPA.

Si existe algún conflicto entre este DPA y los Términos sobre el tratamiento de los datos personales de los clientes, prevalecerá este DPA.

Contacto único: Para cualquier pregunta relacionada con la protección de datos, la privacidad o la seguridad (incluidos los incidentes), póngase en contacto con contact@linkhms.com.

«Datos personales del cliente» se refiere a los datos personales procesados por LinkHMS en nombre del cliente en virtud de los Términos, incluidos los datos de pacientes/salud y los datos operativos de la clínica.

«Ley de protección de datos aplicable» se refiere (según corresponda) al RGPD y a las leyes aplicables de los Estados miembros de la UE, así como a la Ley de protección de datos de Nigeria de 2023 y las directrices/orientaciones relacionadas de la NDPC.

«Subencargado del tratamiento» significa un tercero contratado por LinkHMS para tratar los Datos personales del cliente.

«Violación de datos personales» significa una violación de la seguridad que conduce a la destrucción accidental o ilegal, pérdida, alteración, divulgación no autorizada o acceso a los datos personales del cliente.

• El cliente es el responsable del tratamiento de los datos personales del cliente.
• LinkHMS es el encargado del tratamiento de los datos personales de los clientes.
• El anexo A describe el tratamiento (sujetos, categorías, fines, duración).
• Responsabilidad del cliente: El cliente es responsable de determinar la base legal, proporcionar los avisos necesarios a los interesados y configurar el Servicio de forma adecuada para sus flujos de trabajo.
• LinkHMS es un controlador independiente solo para los datos comerciales propios de LinkHMS (por ejemplo, recursos humanos, contabilidad, cumplimiento corporativo). Este DPA solo cubre los datos personales de los clientes.

• LinkHMS procesará los datos personales del cliente únicamente siguiendo las instrucciones documentadas del cliente, incluyendo la configuración y el uso del servicio por parte del cliente, y según sea necesario para proporcionar, proteger y mantener el servicio.
• Si LinkHMS se ve obligado por la legislación aplicable a tratar los Datos personales del cliente fuera de las instrucciones de este, LinkHMS lo notificará al cliente antes de hacerlo, salvo que lo prohíba la ley.
• Métricas agregadas: LinkHMS puede generar y utilizar métricas de uso agregadas y anonimizadas que no identifican a los pacientes ni a la clínica, con el fin de operar, proteger y mejorar el Servicio. Estas métricas no constituyen Datos personales del cliente.

LinkHMS se asegurará de que las personas autorizadas para tratar los datos personales de los clientes estén sujetas a obligaciones de confidencialidad (contractuales o legales) y reciban formación sobre el tratamiento de datos sensibles o relacionados con la salud.

• LinkHMS implementará las medidas técnicas y organizativas adecuadas para proteger los Datos personales del cliente, incluidas las medidas del Anexo B.
• LinkHMS puede actualizar las medidas de seguridad con el tiempo, siempre que las actualizaciones no reduzcan de manera significativa la seguridad general del Servicio.

• El cliente autoriza a LinkHMS a utilizar subencargados del tratamiento según sea necesario para prestar el Servicio.
• Los subencargados de tratamiento actuales se enumeran en el anexo C.
• Actualizaciones: LinkHMS puede añadir o sustituir subencargados del tratamiento y pondrá a disposición la lista actualizada (por ejemplo, mediante notificación por correo electrónico, notificación en el producto o un anexo C actualizado publicado con el presente DPA).
• Si el Cliente no está conforme con un cambio de Subencargado del tratamiento, podrá dejar de utilizar el Servicio y rescindir el contrato en virtud de los Términos (consulte la sección 12), y solicitar la eliminación/devolución de los datos en virtud de la sección 9.
• LinkHMS impondrá a los subencargados del tratamiento obligaciones en materia de protección de datos que no serán menos estrictas que las establecidas en el presente DPA y seguirá siendo responsable de su cumplimiento.

• LinkHMS proporcionará asistencia razonable para ayudar al Cliente a responder a las solicitudes de los interesados, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone LinkHMS.
• LinkHMS ayudará al Cliente a cumplir con sus obligaciones en materia de seguridad, notificación de infracciones, evaluaciones de impacto y consultas previas, en la medida en que sea aplicable y razonablemente factible.

• LinkHMS notificará al Cliente sin demora injustificada tras tener conocimiento de una violación de los datos personales que afecte a los datos personales del Cliente.
• La notificación incluirá, en la medida en que esté disponible:
  1. descripción de la naturaleza de la infracción;
  2. categorías de datos y interesados afectados;
  3. cuando sea posible, número aproximado de interesados/registros afectados;
  4. posibles consecuencias/riesgos;
  5. medidas adoptadas o propuestas para abordar/contener la infracción y mitigar el daño;
  6. un punto de contacto para el seguimiento.
• El cliente es responsable de cualquier notificación a los organismos reguladores, pacientes u otros terceros, salvo que la legislación aplicable exija a LinkHMS realizar dicha notificación.

• Tras la rescisión o expiración del servicio, LinkHMS (a elección del Cliente, siempre que el servicio lo permita) devolverá los Datos personales del Cliente y/o los eliminará en un plazo razonable.
• Copias de seguridad: Los datos personales de los clientes pueden permanecer en copias de seguridad cifradas durante un período limitado y se eliminarán cuando expiren las copias de seguridad según el calendario de retención estándar de LinkHMS (véase el anexo B). Las copias de seguridad no se restauran, salvo en caso de recuperación ante desastres o pruebas.

• LinkHMS pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento del presente DPA (por ejemplo, una descripción general de la seguridad, políticas e informes pertinentes de terceros, cuando estén disponibles).
• Auditorías (nivel mínimo exigido por la ley): En la medida en que lo exija la legislación aplicable en materia de protección de datos, LinkHMS permitirá y colaborará en las auditorías o inspecciones. Dichas auditorías se limitarán a una revisión razonable y remota de la documentación y los controles de seguridad, durante el horario laboral habitual, con sujeción a la confidencialidad y a cargo del cliente.

Enfoque regional de acogida:

• Clínicas de la UE: los datos se alojan en la implementación de la UE.
• Los datos de las clínicas de EE. UU. y Canadá se alojan en la implementación de EE. UU.
• Clínicas africanas: los datos se alojan en la implementación de África.
• Todas las demás clínicas: los datos se alojan en la implementación de la UE o en la implementación de África, según lo seleccione el cliente.

• Restricciones de acceso: LinkHMS restringe el acceso administrativo y utiliza un acceso autorizado y registrado para la asistencia técnica. Los subencargados del tratamiento se limitan al mínimo necesario.
• Si el acceso o el tratamiento se producen fuera de la región de implementación seleccionada: LinkHMS aplicará las medidas de seguridad adecuadas según lo exigido por la legislación aplicable en materia de protección de datos.

La responsabilidad, las exenciones de responsabilidad y la limitación de responsabilidad se establecen en los Términos (a menos que la legislación aplicable exija lo contrario).

Este DPA comienza cuando el Cliente acepta los Términos y continúa hasta que LinkHMS elimina o devuelve los Datos personales del cliente según lo establecido en la Sección 9.

Asunto: Suministro de SaaS para la gestión de clínicas (citas, historiales de pacientes, notas clínicas, facturación, informes), asistencia y operaciones de seguridad.

Duración: Durante el plazo del servicio según los Términos, más los períodos de retención de eliminación/copia de seguridad descritos en el Anexo B.

Naturaleza del tratamiento: Recopilación, registro, estructuración, almacenamiento, recuperación, consulta, uso, divulgación (limitada a usuarios autorizados/subencargados del tratamiento), transmisión y supresión.

Propósito(s):

• Proporcionar y operar el servicio LinkHMS para el cliente.
• Autenticación de usuarios y gestión de accesos
• Atención al cliente (solo con acceso autorizado)
• Supervisión de la seguridad, registro y respuesta ante incidentes.
• Copias de seguridad, recuperación ante desastres y continuidad del servicio

Categorías de interesados:

• Pacientes de Cliente
• Usuarios del personal de atención al cliente (médicos, enfermeros, administradores)
• Contactos de la clínica y contactos de facturación

Categorías de datos personales:

• Identificadores del paciente y datos de contacto
• Datos sobre salud y historiales médicos (datos de categoría especial según el RGPD)
• Cita, tratamiento y notas clínicas
• Datos de facturación y cobro
• Cuenta de usuario y datos de acceso (correo electrónico, roles, permisos)
• Registros de auditoría y telemetría de seguridad

Categorías especiales de datos: Datos sobre la salud y registros médicos (según corresponda). El cliente controla lo que se introduce en el Servicio.

LinkHMS implementa un programa de seguridad basado en el riesgo. Las medidas incluyen (sin carácter exhaustivo):

Control de acceso

• Control de acceso basado en roles y privilegios mínimos
• Controles de autenticación para usuarios y administradores
• Acceso administrativo restringido y registrado

Cifrado

• Cifrado en tránsito (TLS) para los datos enviados entre los clientes y el servicio.
• Cifrado en reposo para los datos almacenados, cuando sea apropiado.
• Controles clave de gestión

Registro y supervisión

• Registro de auditoría para el acceso de usuarios, acciones administrativas y operaciones con datos clave.
• Alerta de actividades sospechosas e incidentes operativos/de seguridad
• Acceso de soporte autorizado con registros auditables («break-glass» cuando sea necesario)

Copias de seguridad y resiliencia

• Copias de seguridad periódicas de los datos de producción.
• Acceso a copias de seguridad restringido y cifrado
• Procedimientos de restauración documentados

Restablecer pruebas

• Pruebas periódicas de restauración (al menos trimestrales) o pruebas equivalentes de recuperación ante desastres para validar la capacidad de recuperación.

Gestión de vulnerabilidades y cambios

• Aplicación rutinaria de parches a la infraestructura y las dependencias (basada en el riesgo)
• Revisión de seguridad para cambios importantes en la infraestructura
• Gestión de secretos (sin secretos codificados en los repositorios)

Minimización y aislamiento de datos

• Separación lógica de inquilinos y separación de entornos (producción frente a no producción)
• No se utilizarán los datos de estado de producción del cliente en entornos de prueba, salvo que el cliente lo indique expresamente (y, en tal caso, se minimizarán, protegerán y limitarán en el tiempo).

Conservación y eliminación

• Flujos de trabajo de eliminación/devolución en caso de rescisión, según la sección 9.
• Las copias de seguridad cifradas se conservan durante un periodo limitado (por ejemplo, entre 30 y 90 días) y se eliminan al caducar, de acuerdo con las políticas estándar del ciclo de vida de las copias de seguridad.