Anexo: contrato de encargo de tratamiento (art. 28 RGPD)
Versión 2 · 13 de septiembre de 2026 · entre la clínica (responsable) y Eclia (encargada)
1. Partes y objeto
Responsable: la clínica cliente identificada en las Condiciones. Encargada: José Luis Saorín Ferrer (Eclia), contacto hola@ecliaapp.com. Objeto: el tratamiento de los datos de las clientas de la clínica necesario para prestar la plataforma de fidelización.
2. Tratamiento encomendado
Elemento
Detalle
Interesados
Clientas de la clínica y personal autorizado
Categorías de datos
Identificativos, contacto, cumpleaños, membresía, puntos, reservas y pagos; historial de tratamientos estéticos (categoría especial, art. 9)
Operaciones
Recogida, registro, conservación, consulta, comunicación al propio responsable y supresión
Duración
La del contrato de servicio, más el periodo de reversibilidad
3. Obligaciones de la encargada (Eclia)
Tratar los datos solo según instrucciones documentadas del responsable y para las finalidades del servicio.
Garantizar la confidencialidad del personal autorizado.
Aplicar las medidas del art. 32: cifrado en tránsito y en reposo, hash robusto de contraseñas, control de acceso por roles con doble factor, aislamiento por clínica, registro de auditoría, copias de seguridad con restauración puntual.
Asistir al responsable en la atención de derechos (la plataforma incorpora exportación y supresión autoservicio) y en las violaciones de seguridad, notificándolas sin dilación indebida y en un máximo de 48 horas desde que las conozca.
No subcontratar sin autorización general aquí concedida para: Cloudflare (infraestructura y correo), Stripe (pagos), Apple y Google (inicio de sesión y entrega de notificaciones), Expo (push) y Google (IA sin datos personales), informando de cambios con quince días de antelación para oponerse.
A la terminación: devolver los datos al responsable y suprimirlos, salvo conservación legal.
4. Obligaciones del responsable (la clínica)
Disponer de base jurídica y de los textos informativos frente a sus clientas (la plataforma provee una política de privacidad base que la clínica debe completar y validar).
Atender los derechos de sus clientas y realizar, si procede, la evaluación de impacto (EIPD) al tratar datos de salud.
5. Transferencias internacionales
Los subencargados estadounidenses operan bajo el Marco de Privacidad de Datos UE-EE. UU. y/o cláusulas contractuales tipo de la Comisión Europea.