Acuerdo de Tratamiento de Datos (DPA)

Acuerdo de Tratamiento de Datos (DPA — Data Processing Agreement) Anexo de protección de datos de los Términos y Condiciones de Uso (Versión 2.0) de SisLab Gestión. Regula el tratamiento de Datos Personales —incluidos datos sensibles de salud— que el Prestador realiza por cuenta del Cliente, conforme la Ley 25.326, su Decreto Reglamentario 1558/2001, las resoluciones de la AAIP y demás normativa argentina aplicable.

1. Partes, objeto y prelación

1.1. Partes. Son partes de este DPA el Cliente/Laboratorio y el Prestador identificados en los Términos y Condiciones (Versión 2.0). Este DPA forma parte inseparable de dichos Términos y se entiende aceptado con ellos.

1.2. Objeto. Establecer los términos bajo los cuales el Prestador, en su carácter de Encargado del Tratamiento, trata Datos Personales por cuenta del Cliente, en su carácter de Responsable del Tratamiento, en el marco de la prestación del Servicio (art. 25, Ley 25.326).

1.3. Prelación. En materia de tratamiento de Datos Personales, este DPA prevalece sobre el resto de los Términos y documentos complementarios en caso de contradicción.

2. Roles de las partes

2.1. El Cliente es el Responsable del Tratamiento: determina la finalidad, el contenido y el uso de los Datos de los Pacientes y demás titulares, posee la relación con ellos y la base legal correspondiente, y es responsable de su licitud.

2.2. El Prestador es el Encargado del Tratamiento: trata los Datos únicamente por cuenta y según las instrucciones documentadas del Cliente, conforme este DPA y los Términos, sin destinarlos a finalidades propias, salvo lo previsto para información disociada/anonimizada.

2.3. Respecto de los datos de la relación comercial del Cliente y de los datos técnicos/de seguridad, el Prestador actúa como Responsable, conforme la Política de Privacidad.

3. Instrucciones del Responsable

3.1. El Prestador tratará los Datos conforme a las instrucciones documentadas del Cliente, materializadas en: (a) estos Términos, este DPA y los documentos complementarios; (b) la configuración y el uso del Servicio por parte del Cliente; y (c) instrucciones adicionales escritas que las partes acuerden.

3.2. Si el Prestador considera que una instrucción infringe la normativa de protección de datos, lo informará al Cliente, sin perjuicio de poder suspender su ejecución hasta su aclaración.

4. Objeto, naturaleza y finalidad del tratamiento

• Naturaleza y operaciones: recolección, registro, almacenamiento, organización, conservación, consulta, modificación, transmisión por las Integraciones, disociación, respaldo, supresión y demás operaciones necesarias para prestar el Servicio.
• Finalidad: la gestión integral del Laboratorio del Cliente (Pacientes, Órdenes, Muestras, Resultados, Informes, administración, obras sociales, facturación, estadísticas, auditoría), exclusivamente para prestar el Servicio.
• Duración: mientras esté vigente la relación contractual, con las previsiones de devolución/eliminación de la Sección 12.

5. Categorías de datos

5.1. Datos identificatorios y de contacto de Pacientes (nombre, documento, fecha de nacimiento, sexo, domicilio, teléfono, correo).

5.2. Datos de cobertura y administrativos (obra social, plan, afiliado, convenios, facturación).

5.3. Datos de Usuarios del Cliente (nombre, correo, rol, permisos, matrícula, registros de actividad).

5.4. Datos Sensibles de salud (categoría especial): Resultados de análisis clínicos, valores, observaciones, antecedentes, diagnósticos presuntivos cargados por el Profesional e Informes (art. 2, Ley 25.326).

6. Categorías de titulares

• Pacientes del Laboratorio del Cliente.
• Profesionales y Usuarios del Cliente (bioquímicos, técnicos, médicos solicitantes registrados, personal administrativo).
• Otras personas cuyos datos el Cliente decida cargar en el Servicio bajo su responsabilidad.

7. Obligaciones del Prestador (Encargado)

El Prestador se obliga a:

a) Tratar los Datos solo por cuenta del Cliente y según sus instrucciones (Sección 3), sin finalidades propias salvo disociación/anonimización; b) Garantizar la confidencialidad de los Datos y que su personal con acceso esté sujeto a deberes de confidencialidad y al secreto del art. 10 de la Ley 25.326, que subsisten tras el cese; c) Aplicar las medidas de seguridad técnicas y organizativas de la Sección 9 y de la Política de Seguridad y Backups; d) Asistir razonablemente al Cliente para atender las solicitudes de los titulares (Sección 10); e) Asistir al Cliente en materia de seguridad, notificación de incidentes y, en su caso, evaluaciones de impacto (Sección 11); f) Recurrir a subencargados solo conforme la Sección 8; g) Poner a disposición del Cliente la información razonable para acreditar el cumplimiento de estas obligaciones (Sección 13); h) Devolver o eliminar los Datos al finalizar la prestación (Sección 12); i) No realizar transferencias internacionales sino conforme la Sección 8.4; j) No tratar los Datos con fines de comercialización o cesión a terceros.

8. Subencargados y transferencias

8.1. Autorización general. El Cliente autoriza con carácter general al Prestador a contratar subencargados para la prestación del Servicio (p. ej. proveedores de alojamiento/nube, envío de correo electrónico, mensajería (WhatsApp/SMS) y procesamiento de pagos), obligándose el Prestador a seleccionar subencargados que ofrezcan garantías suficientes y a imponerles, por contrato, obligaciones de protección de datos no menos exigentes que las de este DPA.

8.2. Categorías de subencargados (vigentes):

El listado nominado y actualizado de subencargados puede solicitarse a soporte@sislab.com.ar. Las Integraciones que el Cliente active con terceros (p. ej. su propio analizador o LIS) se rigen por la relación del Cliente con dichos terceros.

8.3. Cambios y oposición. El Prestador informará, por los medios previstos en los Términos, la incorporación o sustitución de subencargados que traten datos de Pacientes. El Cliente podrá oponerse por motivos razonables y fundados relativos a la protección de datos dentro de los quince (15) días corridos; de no arribarse a una solución, el Cliente podrá resolver el Contrato respecto del servicio afectado, conforme los Términos.

8.4. Transferencias internacionales. Si la prestación implica transferir o almacenar Datos fuera de la República Argentina, ello se realizará conforme a los arts. 11 y 12 de la Ley 25.326 y a la normativa de la AAIP, mediante mecanismos válidos (destino con nivel adecuado de protección, cláusulas contractuales u otras garantías). El Prestador informará al Cliente las jurisdicciones involucradas a requerimiento.

9. Medidas de seguridad

9.1. El Prestador implementa las medidas técnicas y organizativas descriptas en la Política de Seguridad y Backups, alineadas con las recomendaciones de la AAIP (Resolución 47/2018, Anexo I), que comprenden, entre otras:

• Control de acceso por usuario y rol, con mínimo privilegio;
• Autenticación y, según Plan, doble factor (2FA); gestión de sesiones y bloqueos;
• Cifrado en tránsito (TLS/HTTPS) y, según infraestructura, en reposo;
• Registros de auditoría (accesos, modificaciones, validaciones, impresiones, firmas, exportaciones);
• Control de modificaciones y trazabilidad;
• Respaldos y recuperación conforme la Política de Seguridad y Backups;
• Gestión de vulnerabilidades y separación de entornos de desarrollo y producción;
• Gestión de incidentes de seguridad;
• Destrucción segura de la información.

9.2. El nivel de seguridad es razonable y proporcionado a la sensibilidad de los datos, sin constituir garantía de inviolabilidad (Términos, Secciones 13 y 24).

10. Asistencia para los derechos de los titulares

10.1. Las solicitudes de acceso, rectificación, actualización y supresión (arts. 14, 15 y 16, Ley 25.326) que los Pacientes dirijan respecto de sus Datos deben ser atendidas por el Cliente como Responsable.

10.2. El Prestador asistirá al Cliente, en la medida de lo posible y mediante las funcionalidades del Servicio, para localizar, acceder, rectificar, exportar o suprimir Datos a fin de responder dichas solicitudes dentro de los plazos legales. Si una solicitud llega directamente al Prestador, este la derivará al Cliente sin resolverla por sí, salvo instrucción del Cliente.

11. Incidentes de seguridad

11.1. El Prestador notificará al Cliente sin demora indebida todo Incidente de Seguridad del que tome conocimiento que afecte Datos tratados por cuenta del Cliente, informando —en la medida de lo disponible— su naturaleza, las categorías y el volumen aproximado de datos y titulares afectados, las posibles consecuencias y las medidas adoptadas o propuestas.

11.2. La calificación del Incidente y las notificaciones a los Pacientes y a la AAIP, cuando correspondan, son responsabilidad del Cliente como Responsable, con la colaboración razonable del Prestador.

11.3. El Cliente debe notificar al Prestador, sin demora, los Incidentes que detecte de su lado (p. ej. compromiso de Credenciales, accesos indebidos por sus Usuarios).

12. Devolución y eliminación de datos

12.1. A la finalización de la prestación (por baja, cancelación o discontinuación), el Cliente podrá exportar sus Datos durante el plazo de hasta noventa (90) días corridos previsto en los Términos (Sección 20).

12.2. Vencido dicho plazo, el Prestador eliminará los Datos de los entornos productivos mediante borrado seguro, salvo: (a) instrucción escrita del Cliente en contrario; (b) obligación legal de conservación; o (c) copias en respaldos cifrados que se sobrescriben según su ciclo de rotación.

12.3. A solicitud del Cliente, el Prestador podrá emitir una constancia de eliminación.

12.4. El Cliente reconoce que la conservación legal de la documentación sanitaria (p. ej. el plazo de diez (10) años de la Ley 26.529 / Decreto 1089/2012) es de su responsabilidad y que, para cumplirla, debe exportar y conservar sus Datos antes de la eliminación.

13. Auditoría y acreditación de cumplimiento

13.1. El Prestador pondrá a disposición del Cliente la información razonablemente necesaria para acreditar el cumplimiento de este DPA.

13.2. El Cliente podrá solicitar, con preaviso razonable y a su costa, auditorías —directamente o a través de un tercero independiente sujeto a confidencialidad— limitadas al cumplimiento de este DPA, sin comprometer la seguridad ni los datos de otros clientes del Prestador, en horario y modalidad que no afecten la operación. Las partes acordarán el alcance para minimizar la disrupción.

14. Confidencialidad

14.1. El Prestador y su personal mantienen estricta confidencialidad sobre los Datos, conforme la Sección 11 de los Términos y el art. 10 de la Ley 25.326. Esta obligación subsiste indefinidamente tras la finalización del Contrato.

15. Responsabilidad

15.1. La responsabilidad de las partes en relación con este DPA se rige por los Términos y Condiciones (Versión 2.0), en particular sus Secciones 24 (Limitación de responsabilidad) y 25 (Indemnidad), y por las normas imperativas de la Ley 25.326 y demás legislación aplicable, que prevalecen en lo que resulten indisponibles.

15.2. Cada parte responde por el incumplimiento de las obligaciones que este DPA y la ley ponen a su cargo según su rol (Responsable / Encargado).

16. Vigencia

16.1. Este DPA rige mientras el Prestador trate Datos por cuenta del Cliente y se mantiene vigente hasta completarse la devolución o eliminación de los Datos. Las obligaciones de confidencialidad subsisten tras su finalización.

17. Disposiciones finales

17.1. Lo no previsto en este DPA se rige por los Términos y Condiciones (Versión 2.0), la Política de Privacidad, la Política de Seguridad y Backups y la legislación argentina aplicable. Ley aplicable y jurisdicción: las de los Términos (Sección 32).

18. Contacto

• Protección de datos: soporte@sislab.com.ar
• Autoridad de control: Agencia de Acceso a la Información Pública (AAIP).