Contrato de Encargo
del Tratamiento (DPA)

Conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), este contrato regula el tratamiento de datos personales de pacientes que los profesionales sanitarios puedan procesar a través de OPTOpilot y OPTOclinic.

Encargado: VisionAcademy SL — CIF B42942664Versión 1.0Última actualización: Abril 2025Base legal: Art. 28 RGPD

Partes del Contrato

Responsable del Tratamiento

El profesional sanitario o entidad clínica que acepta las condiciones de uso de OPTOacademyOS y utiliza OPTOpilot u OPTOclinic en el ejercicio de su actividad profesional.

Encargado del Tratamiento

Denominación: VisionAcademy SL
CIF: B42942664
Domicilio: Calle Ayala, 14, 1F, Don Benito (Badajoz)
Registro Mercantil: Badajoz — T. 754, F. 46, S. 8, H. BA-31486, I/A 1 (03.03.2021)
Contacto: [email protected]

Aceptación

El presente contrato se entiende aceptado por el Responsable en el momento en que acepta las Condiciones de Uso de OPTOacademyOS. Para solicitar una copia firmada, contactar en [email protected].

Tratamientos Cubiertos

Herramienta	Datos	Finalidad	Duración
OPTOpilot	Audio de consulta (puede contener datos de salud)	Transcripción y estructuración del informe	Efímera — audio descartado tras transcripción
OPTOpilot	Texto del informe estructurado	Borrador de informe para el profesional	Mientras el profesional lo conserve
OPTOclinic	Datos clínicos introducidos manualmente	Organización de historia clínica	Mientras el profesional los conserve

Obligaciones del Encargado (VisionAcademy SL)

✓Tratar los datos únicamente según las instrucciones del Responsable y para las finalidades descritas.
✓Garantizar la confidencialidad del personal con acceso a los datos.
✓Aplicar medidas de seguridad adecuadas al riesgo (cifrado TLS 1.3, eliminación inmediata del audio, control de acceso por roles).
✓Notificar brechas de seguridad en un máximo de 72 horas desde su conocimiento.
✓Asistir al Responsable en el ejercicio de derechos de los interesados (acceso, rectificación, supresión, etc.).
✓Suprimir o devolver todos los datos al finalizar la relación contractual.
✓Notificar con 30 días de antelación cualquier cambio en los subencargados.

Subencargados y Transferencias Internacionales

Subencargado	Función	País	Garantía
OpenAI, LLC	Transcripción (Whisper) y estructuración de informes (GPT)	EE.UU.	CCT — Decisión 2021/914
Manus (hosting)	Infraestructura cloud y alojamiento	UE/EEE	Tratamiento dentro del EEE

Las transferencias a EE.UU. se realizan al amparo de las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea mediante Decisión de Ejecución (UE) 2021/914.

Obligaciones del Responsable (el Profesional)

!Disponer de una base jurídica válida para tratar los datos de salud de sus pacientes (consentimiento explícito o base de asistencia sanitaria, art. 9.2 RGPD).
!Informar a sus pacientes del uso de herramientas de transcripción asistida por IA, conforme al art. 13 RGPD, antes de utilizar OPTOpilot.
!Revisar, corregir y validar todos los informes generados por OPTOpilot antes de incorporarlos a la historia clínica.
!No introducir más datos personales de pacientes de los estrictamente necesarios.
!Asumir la responsabilidad clínica y legal del contenido final de los informes generados.

Medidas de Seguridad Técnicas y Organizativas

Cifrado en tránsito

TLS 1.3 en todas las comunicaciones

Cifrado en reposo

AES-256 para datos almacenados

Eliminación de audio

Descarte inmediato tras la transcripción en OPTOpilot

Control de acceso

OAuth 2.0 y roles de usuario

Segmentación de datos

Datos de cada usuario lógicamente separados

Gestión de incidentes

Procedimiento documentado de respuesta a brechas

Legislación Aplicable y Jurisdicción

El presente contrato se rige por el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la legislación española. Para la resolución de controversias, las partes se someten a los Juzgados y Tribunales de Don Benito (Badajoz).

Documento elaborado conforme al art. 28 RGPD, las directrices 07/2020 del CEPD y las Cláusulas Contractuales Tipo adoptadas por la Decisión de Ejecución (UE) 2021/914.

Contrato de Encargodel Tratamiento (DPA)