Contrato de Encargo de Tratamiento

El presente contrato regula la relación entre el Responsable del Tratamiento (tú, como profesional de la psicología) y el Encargado del Tratamiento (Psicofactu), en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD).

1. Partes del Contrato

Responsable del Tratamiento

Identidad: El profesional de la psicología usuario de Psicofactu
Rol: Determina los fines y medios del tratamiento de datos personales de sus pacientes
Obligaciones: Conforme a los artículos 24 y siguientes del RGPD

Encargado del Tratamiento

Denominación: Psicofactu
Titular: Alex Leiro, NIF 39961321V
Domicilio: Calle Castillo de Belmonte, 7, 1F, 28232 Las Rozas de Madrid (Madrid)
Sitio web: https://psicofactu.com
Contacto: ventas@psicofactu.com
Rol: Trata datos personales por cuenta del Responsable

2. Objeto del Encargo

Mediante el presente contrato, el Responsable encarga al Encargado (Psicofactu) el tratamiento de datos personales necesario para la prestación de los siguientes servicios:

Almacenamiento y gestión de fichas de pacientes
Registro y gestión de citas y calendario
Almacenamiento de notas clínicas y datos de salud
Asistencia mediante Inteligencia Artificial en la documentación de la historia clínica: transcripción, estructuración y resumen de la información documentada, y consulta del expediente a solicitud del profesional
Emisión y almacenamiento de facturas
Envío de recordatorios de citas por email
Generación de informes y estadísticas anonimizadas

3. Datos Personales Objeto del Tratamiento

3.1 Categorías de interesados

Pacientes del Responsable (personas físicas que reciben atención psicológica)
Contactos de emergencia de los pacientes (en su caso)

3.2 Tipos de datos tratados

Categoría	Datos	Categoría Especial (Art. 9 RGPD)
Identificativos	Nombre, apellidos, DNI/NIE, teléfono, email	No
Salud	Notas clínicas, diagnósticos, medicación, historial terapéutico	Si
Economicos	Datos de facturación del paciente	No
Citas	Fechas, horarios, historial de asistencia	No

Datos de categoría especial: Los datos de salud (Art. 9 RGPD) reciben un nivel de protección reforzado. Su tratamientoestá legitimado por el artículo 9.2.h) del RGPD (fines de medicina preventiva o laboral, asistencia sanitaria) y requiere que el Responsable haya obtenido el consentimiento explicito del paciente conforme al artículo 9.2.a) del RGPD.

4. Obligaciones del Encargado del Tratamiento

Psicofactu, como Encargado del Tratamiento, se compromete a:

4.1 Tratar los datos únicamente según instrucciones

Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales de datos, salvo que este obligado a hacerlo en virtud del Derecho de la Unión o del Estado miembro (Art. 28.3.a RGPD).

4.2 Confidencialidad

Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o esten sujetas a una obligación de confidencialidad de naturaleza estatutaria (Art. 28.3.b RGPD). Todo el personal con acceso a datosestá vinculado por acuerdos de confidencialidad.

4.3 Medidas de seguridad (Art. 32 RGPD)

Tomar todas las medidas técnicas y organizativas necesarias conforme al artículo 32 del RGPD para garantizar un nivel de seguridad adecuado al riesgo. Ver sección 6 para el detalle completo de medidas implementadas.

4.4 Sub-encargados

No recurrir a otro encargado del tratamiento sin la autorización previa por escrito del Responsable. En caso de autorización general, informar al Responsable de cualquier cambio previsto en la incorporación o sustitución de sub-encargados, dando al Responsable la oportunidad de oponerse (Art. 28.2 y 28.4 RGPD). Ver sección 7 para la lista completa de sub-encargados actuales.

4.5 Asistencia al Responsable

Asistir al Responsable en el cumplimiento de su obligación de atender las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, portabilidad, limitación, oposición), así como en la realización de evaluaciones de impacto y consultas previas a la autoridad de control cuando sean necesarias (Art. 28.3.e y 28.3.f RGPD).

4.6 Supresión o devolución de datos

A elección del Responsable, suprimir o devolver todos los datos personales una vez finalice la prestación de los servicios, y suprimir las copias existentes salvo que el Derecho de la Unión o del Estado miembro exija la conservación de los datos (Art. 28.3.g RGPD). El Responsable puede exportar todos los datos de pacientes en formato estructurado en cualquier momento desde la plataforma.

4.7 Auditorías e inspecciones

Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28, así como permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de otro auditor autorizado (Art. 28.3.h RGPD).

4.8 Notificación de brechas de seguridad

Notificar al Responsable sin dilación indebida cualquier violación de la seguridad de los datos personales de la que tenga conocimiento, facilitando toda la información relevante para que el Responsable pueda cumplir con su obligación de notificación a la autoridad de control (Art. 33 RGPD) y, en su caso, a los interesados (Art. 34 RGPD).

Como concreción operativa de ese deber, el Encargado se compromete a:

Comunicación inicial en un máximo de 24 horas desde que tiene conocimiento del incidente, incluso si la investigación sigue abierta y la información es todavía parcial: naturaleza del incidente, momento de detección, categorías y volumen aproximado de datos afectados y medidas inmediatas adoptadas.
Información completa del artículo 33.3 RGPD en un máximo de 48 horas, o comunicación por fases con la justificación del retraso si la investigación no permite cerrarla en ese plazo.
Un único punto de contacto durante todo el incidente y actualizaciones hasta su cierre, con informe final de causa raíz y medidas correctoras.

Estos plazos son techos, no objetivos: la obligación que rige es comunicar sin dilación indebida desde el conocimiento del incidente. Se computan sobre el momento en que el Encargado adquiere conocimiento de la violación, no sobre el de su ocurrencia, y están diseñados para que el Responsable conserve margen suficiente dentro de sus propias 72 horas del artículo 33.1 RGPD.

5. Obligaciones del Responsable del Tratamiento

El profesional, como Responsable del Tratamiento, se compromete a:

Obtener el consentimiento informado de sus pacientes para el tratamiento de datos de salud, conforme a los artículos 6 y 9 del RGPD, antes de introducir sus datos en la plataforma
Informar a sus pacientes sobre la existencia de este encargo de tratamiento y sobre la identidad del Encargado
Garantizar que dispone de la base legal adecuada para cada tratamiento de datos
Facilitar el ejercicio de los derechos ARCO+ (Acceso, Rectificación, Cancelación, Oposición, Portabilidad, Limitación) a sus pacientes
Utilizar la plataforma conforme a la normativa deontológica de su colegio profesional
Notificar al Encargado cualquier incidencia que afecte al tratamiento de datos
Mantener actualizado el Registro de Actividades de Tratamiento (Art. 30 RGPD)

6. Medidas de Seguridad Técnicas y Organizativas (Art. 32 RGPD)

Psicofactu implementa las siguientes medidas de seguridad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanente de los sistemás y servicios de tratamiento:

6.1 Cifrado de datos

Cifrado en reposo (data at rest)

Algoritmo: AES-256-GCM (Advanced Encryption Standard con Galois/Counter Mode)
Alcance: El contenido clínico de los pacientes (notas, diagnósticos, medicación, historial terapéutico) se cifra campo a campo antes de almacenarse en la base de datos
Claves: Las claves de cifrado se gestionan de forma independiente a los datos cifrados y admiten rotación versionada
IV (Vector de Inicialización): Único y aleatorio para cada operación de cifrado, garantizando que datos idénticos produzcan textos cifrados diferentes

Cifrado en tránsito (data in transit)

Protocolo: TLS 1.3 (Transport Layer Security) para todas las comunicaciones cliente-servidor
Certificados: Certificados SSL/TLS gestionados y renovados automáticamente
HSTS: HTTP Strict Transport Security habilitado para prevenir ataques de downgrade

Hash de contraseñas

Algoritmo: bcrypt con factor de coste 12 (salt rounds)
Funcionamiento: Las contraseñas se transforman mediante una función hash unidireccional con salt aleatorio único por usuario. Es computacionalmente inviable revertir el hash para obtener la contraseña original
Almacenamiento: Únicamente se almacena el hash resultante, nunca la contraseña en texto plano
Resistencia: El factor de coste adaptativo protege contra ataques de fuerza bruta y tablas rainbow

6.2 Control de acceso

Autenticación: OAuth 2.0 (Google) y credenciales con contraseña hasheada (bcrypt)
Verificación en dos pasos (2FA): Disponible para toda cuenta profesional. El usuario elige como método principal una aplicación de autenticación TOTP (RFC 6238, códigos de 6 dígitos cada 30 segundos, compatible con Google Authenticator, Microsoft Authenticator, Aegis, Authy y equivalentes) o un código de un solo uso enviado por correo electrónico. Con TOTP como método principal, el código por correo y los 10 códigos de recuperación de un solo uso quedan disponibles como vías de respaldo para evitar la pérdida de acceso al propio expediente clínico. Incluye panel de dispositivos de confianza revocables (90 días, revocación total al cerrar sesión y aviso por correo al confiar un dispositivo nuevo). El secreto TOTP se almacena cifrado (AES-256-GCM), los códigos de recuperación y los códigos por correo se almacenan hasheados con bcrypt, y los endpoints de verificación aplican limitación de intentos. La verificación se exige en el servidor, tanto en las páginas del panel como en la API
Sesiones: Tokens JWT (JSON Web Tokens) con expiración configurable y firma criptografica
Aislamiento de datos: Cada profesional solo puede acceder a los datos de sus propios pacientes (multi-tenant con aislamiento lógico)
Principio de mínimo privilegio: Cada componente del sistema accede únicamente a los datos estrictamente necesarios para su función

6.3 Tratamiento de datos mediante Inteligencia Artificial

Psicofactu incorpora funciones de Inteligencia Artificial de apoyo a la documentación clínica: transcripción y estructuración de notas, resumen de la información documentada, preparación de la sesión a partir de lo registrado y consulta del expediente con indicación de la nota o del registro del que procede cada dato. Estas funciones operan en modo documental: no emiten diagnósticos, no proponen tratamientos ni valoran el riesgo del paciente. Su resultado tiene la consideración de borrador sujeto a la revisión del profesional, que conserva en todo momento la responsabilidad clínica y la decisión final. Las garantías aplicadas son:

Sub-encargado y localización: El proveedor es Microsoft Azure OpenAI, que actúa como sub-encargado del tratamiento (apartado 7), con despliegues en la Unión Europea. Microsoft no utiliza los datos para entrenar modelos y las peticiones se realizan sin almacenamiento de conversaciones. Conforme a sus condiciones de servicio, Microsoft puede conservar temporalmente contenido con la única finalidad de detectar y prevenir abusos del servicio
Minimización (art. 5.1.c RGPD): Solo se transmite la información necesaria para la tarea solicitada. En las consultas al expediente, la plataforma selecciona previamente los fragmentos pertinentes para la pregunta; cuando el profesional solicita un resumen de la evolución, puede transmitirse una versión condensada del conjunto del expediente
Seudonimización (art. 4.5 RGPD): Antes de cualquier transmisión se sustituyen el nombre y los apellidos del paciente y de las personas vinculadas que constan en su ficha, los datos de contacto, los números identificativos y las fechas completas. Es una medida de seudonimización, no de anonimización: la información transmitida sigue siendo un dato de salud (art. 9 RGPD) y se trata como tal
Oposición del paciente: Si el Responsable registra que el paciente no desea que sus datos se traten con IA, estas funciones quedan bloqueadas para ese paciente antes de acceder a su información
Cifrado en tránsito: Las comunicaciones con el proveedor de IA se realizan exclusivamente a través de conexiones cifradas TLS
Registro y conservación: El uso de las funciones de IA queda reflejado en el registro de auditoría; en las consultas al expediente se registran las partes consultadas, identificadas por referencia y sin su contenido. La plataforma no conserva las preguntas ni las respuestas de estas consultas; la preparación de la sesión se conserva cifrada durante un máximo de 30 días para no tener que generarla de nuevo

6.4 Seguridad de la infraestructura

Alojamiento: Servidores ubicados en la Unión Europea, conformes con el RGPD
Base de datos: MongoDB Atlas con cifrado en reposo, en tránsito y aislamiento de red
Backups: Copias de seguridad automáticas diarias cifradas, con retención configurable
Monitorización: Monitorización continua 24/7 de la disponibilidad y seguridad del servicio
Protección contra ataques: Rate limiting, protección contra DDoS y detección de anomalias
Actualizaciones: Aplicación regular de parches de seguridad y actualizaciones del software

6.5 Registro de auditoría (Art. 30 RGPD)

Eventos registrados: Accesos, modificaciones, eliminaciones y exportaciones de datos de pacientes, uso de funcionalidades de IA, cambios de configuración y accesos a la propia cuenta profesional (inicio y cierre de sesión e intentos de acceso fallidos)
Información registrada: Fecha y hora, usuario, acción realizada, recurso afectado e IP de origen
Retención: Los logs de auditoría se conservan durante un período de 5 años, en línea con el plazo mínimo de conservación de la documentación clínica del artículo 17.1 de la Ley 41/2002: la trazabilidad de los accesos debe cubrir todo el tiempo en que la historia clínica permanece conservada. La supresión al cumplirse el plazo es automática
Integridad: Los registros de auditoría son inmutables una vez creados

6.6 Seudonimización y anonimización

Soft delete: La eliminación de datos de pacientes se realiza mediante marcado lógico (soft delete), permitiendo la recuperación en caso de error y la supresión definitiva conforme al derecho al olvido (Art. 17 RGPD)
Anonimización: El Responsable puede anonimizar datos de pacientes para fines estadísticos propios, haciendo irreversible la identificación del interesado
Aislamiento por profesional: Los datos de cada profesional están logicamente aislados, impidiendo el acceso cruzado entre usuarios

7. Sub-encargados del Tratamiento (Art. 28.2 y 28.4 RGPD)

El Responsable presta al Encargado una autorización general (art. 28.2 RGPD) para recurrir a los sub-encargados del tratamiento que figuran en la lista publicada y mantenida al día en psicofactu.com/legal/subencargados, todos ellos vinculados por un acuerdo de tratamiento de datos (DPA) con obligaciones equivalentes a las de este contrato.

Esa lista publicada forma parte del presente contrato. El Encargado informará al Responsable de la incorporación o sustitución de cualquier sub-encargado con al menos 30 días de antelación, mediante aviso en la aplicación o correo electrónico a la dirección de la cuenta. Durante ese plazo el Responsable podrá oponerse por motivos razonables relativos a la protección de datos escribiendo a ventas@psicofactu.com; si la objeción no puede resolverse, el Responsable podrá resolver el contrato sin penalización y recuperar sus datos conforme a la cláusula 10.

A fecha de octubre de 2026, los sub-encargados son los siguientes. La versión vigente es siempre la publicada en el enlace anterior:

Sub-encargado	Finalidad	Ubicación de datos	Garantías
Microsoft Azure OpenAI	Asistencia de IA: transcripción, estructuración y resumen de lo documentado (función opcional)	Unión Europea (EEE)	DPA, SCC, sin entrenamiento de modelos ni almacenamiento de conversaciones (store:false)
MongoDB Atlas (MongoDB Inc.)	Alojamiento de la base de datos (cifrada)	Unión Europea (París)	DPA, ISO 27001, SOC 2 Type II
Vercel Inc.	Hosting de la aplicación y CDN	Unión Europea (París)	DPA, SOC 2 Type II
Stripe Inc.	Procesamiento de pagos y facturación	Unión Europea / EE. UU.	DPA, SCC, PCI-DSS Level 1
Resend Inc.	Envío de correos transaccionales y recordatorios de citas	EE. UU.	DPA, SCC (Cláusulas Contractuales Tipo)
Amazon Web Services (AWS)	Almacenamiento de documentos (PDF de facturas, copias de seguridad)	Unión Europea (eu-west-1)	DPA, ISO 27001, SOC 2
Google LLC	Autenticación (Google Sign-In) y sincronización con Google Calendar (opcional)	Unión Europea / EE. UU.	Marco de Privacidad UE-EE. UU. (DPF), SCC, ISO 27001. Contrato de encargo (DPA) de Google solo con cuentas de Google Workspace; con una cuenta personal de Gmail rigen los términos de Google
PostHog (EU Cloud)	Analítica de producto (solo con consentimiento de cookies; sin datos de salud)	Unión Europea (Frankfurt)	DPA, alojamiento en la UE
Crisp IM SARL	Chat de soporte al profesional (opcional)	Unión Europea (Francia)	DPA

Transferencias internacionales: Para los sub-encargados ubicados fuera del Espacio Económico Europeo (EEE), se aplican las Cláusulas Contractuales Tipo (SCCs) aprobadas por la Comisión Europea (Decisión 2021/914) como mecanismo de transferencia conforme al artículo 46.2.c) del RGPD. Además, se realizan Evaluaciones de Impacto de Transferencias (TIA) para verificar que la legislación del país de destino no impide el cumplimiento de las garantías.

8. Conservación de Datos

Los datos personales serán tratados durante la vigencia de la relación contractual entre el Responsable y el Encargado. Una vez finalizada:

Tipo de dato	Periodo de conservación	Base legal
Datos del profesional (usuario)	Vigencia del servicio + 5 años	Obligaciones fiscales y mercantiles
Datos de pacientes	Según instrucciones del Responsable, máx. 15 años	Ley 41/2002 (documentación clínica), Art. 17 RGPD
Logs de auditoría	5 años	Art. 5.2 y 30 RGPD; trazabilidad de accesos a la historia clínica (Ley 41/2002, Art. 17.1)
Facturas emitidas	5 años	Ley General Tributaria (Art. 66)
Datos de IA (prompts/respuestas)	Las consultas al expediente y sus respuestas no se conservan; la preparación de la sesión, cifrada, un máximo de 30 días. En el proveedor, sin almacenamiento de conversaciones (store:false), salvo la conservación temporal para la detección de abusos prevista en sus condiciones	DPA con Microsoft (Azure OpenAI)

9. Derechos de los Interesados

Psicofactu asistirá al Responsable para atender las solicitudes de ejercicio de derechos de los interesados (pacientes):

Acceso (Art. 15)

Exportación de datos del paciente en formato estructurado desde la plataforma

Rectificación (Art. 16)

Herramientas para corregir datos inexactos o incompletos

Supresión (Art. 17)

Eliminación completa de datos del paciente (soft delete + purga definitiva)

Limitación (Art. 18)

Posibilidad de restringir el tratamiento manteniendo el almacenamiento

Portabilidad (Art. 20)

Exportación en formatos JSON y Excel interoperables

Oposición (Art. 21)

Mecanismos para cesar el tratamiento a solicitud del interesado

El plazo máximo de respuesta a solicitudes de derechos es de 30 días naturales desde la recepción de la solicitud, conforme al artículo 12.3 del RGPD.

10. Duración y Resolución

El presente contrato de encargo de tratamiento tiene la misma duración que la relación contractual principal (suscripción al servicio Psicofactu).

A la finalización del contrato, el Encargado:

Pondra a disposición del Responsable todas las herramientas necesarias para la exportación completa de sus datos y los de sus pacientes en formatos estándar (Excel, JSON, PDF)
Procederá a la supresión efectiva de todos los datos personales en un plazo máximo de 90 días tras la finalización del contrato, salvo obligación legal de conservación
Certificara por escrito la supresión de los datos si el Responsable así lo solicita
Durante el período de 90 días previo a la supresión, el Responsable podrá solicitar una copia completa de todos sus datos

11. Responsabilidad e Indemnización

Cada parte será responsable de los daños causados por el incumplimiento de sus obligaciones conforme al artículo 82 del RGPD:

El Encargado será responsable de los daños causados por el tratamiento únicamente cuando no haya cumplido las obligaciones del RGPD que van dirigidas específicamente a los encargados, o cuando haya actuado al margen o en contra de las instrucciones del Responsable
El Encargado quedara exento de responsabilidad si demuestra que no es en modo alguno responsable del hecho que haya causado los daños (Art. 82.3 RGPD)

12. Legislación Aplicable y Jurisdicción

El presente contrato se rige por:

Reglamento (UE) 2016/679 General de Protección de Datos (RGPD)
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD)
Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI-CE)
Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica

Para la resolución de cualquier controversia derivada del presente contrato, las partes se someten a la jurisdicción de los Juzgados y Tribunales de Madrid (España), con renuncia expresa a cualquier otro fuero.

13. Modificaciones

Cualquier modificación del presente contrato deberá realizarse por escrito y ser comunicada al Responsable con un preaviso mínimo de 30 días. El uso continuado del servicio tras la comunicación de cambios implica la aceptación de los mismos. Si el Responsable no está de acuerdo con las modificaciones, podrá resolver el contrato y solicitar la exportación y supresión de sus datos.

14. Contacto

Para cualquier cuestión relacionada con el presente contrato o con la protección de datos:

Email: ventas@psicofactu.com
Web: https://psicofactu.com

Asimismo, el Responsable o los interesados pueden presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD):

Web: https://www.aepd.es
Teléfono: 901 100 099
Dirección: C/ Jorge Juan, 6 - 28001 Madrid

Al crear una cuenta en Psicofactu y aceptar este contrato, se formaliza el encargo de tratamiento conforme al artículo 28 del RGPD. Este documento constituye un contrato vinculante entre las partes en formato electrónico, válido conforme a la Ley 34/2002 (LSSI-CE) y el Reglamento (UE) 910/2014 (eIDAS).

Volver a Crear cuenta