Anexo de Tratamiento de Datos (DPA)

1. Objeto y Ámbito de Aplicación

Este DPA es un anexo inseparable del Contrato Marco SaaS (Doc 04) y regula las instrucciones y condiciones bajo las cuales OdontoCloud, en su calidad de Encargado del Tratamiento, procesará los datos personales y sensibles de salud alojados por el Cliente, único Responsable del Tratamiento, conforme a la Ley N° 21.719.

1 bis. Objeto, Naturaleza y Alcance del Encargo (AÑADIDO F1)

Este DPA constituye el mandato de tratamiento exigido por la Ley N° 21.719, con el siguiente contenido mínimo:

• Objeto: tratamiento de datos personales y sensibles de salud por cuenta del Cliente para la prestación del software de gestión odontológica.
• Duración: la del Contrato Marco SaaS y sus obligaciones de conservación/destrucción posteriores (Doc 04 §6 y Doc 15).
• Naturaleza y finalidad: almacenamiento, organización, consulta, respaldo y puesta a disposición de FCE y datos administrativos, según las instrucciones del Cliente.
• Tipo de datos: identificación y contacto, datos administrativos y datos sensibles de salud (FCE, diagnósticos, imágenes, recetas).
• Categorías de titulares: Pacientes del Cliente, Usuarios Clínicos y personal del Cliente.
• Obligaciones del Responsable (Cliente): instruir, supervisar y auditar el tratamiento; garantizar la base de licitud frente a los titulares.

2. Instrucciones del Responsable del Tratamiento

OdontoCloud procesará los datos exclusivamente siguiendo las instrucciones escritas del Cliente (configuraciones del software, contratos, solicitudes de soporte). Tiene prohibido usar los datos con un fin distinto al servicio SaaS. Si detecta que una instrucción del Cliente infringe la normativa de protección de datos o de derechos del paciente, lo comunicará de inmediato para su rectificación.

3. Obligaciones de Confidencialidad del Personal

OdontoCloud garantiza que su personal técnico con acceso a los datos está sujeto a compromisos de confidencialidad estrictos y permanentes, que subsisten tras el término del vínculo laboral o comercial.

4. Medidas de Seguridad y Estándares Técnicos

OdontoCloud mantiene medidas de seguridad lógicas, físicas y organizativas para garantizar la confidencialidad, integridad y disponibilidad de las FCE: control de acceso por identidades únicas, respaldo y almacenamiento redundante, y protocolos criptográficos de resguardo perimetral.

5. Subprocesamiento de Infraestructura (REESCRITO F1 — corrige ref. rota)

El Cliente autoriza de forma general la subcontratación de proveedores esenciales de infraestructura cloud. OdontoCloud:

• traslada formalmente a cada Subprocesador las mismas obligaciones de confidencialidad y protección de datos de este DPA;
• mantiene actualizado el Anexo de Subprocesadores (Doc 16) —(corrección: la versión anterior remitía erróneamente al "Módulo 11"; el registro es el Doc 16)— y notifica al Cliente toda incorporación o sustitución con antelación razonable, permitiéndole objetar por motivos fundados;
• cuando un Subprocesador trate datos fuera de Chile, aplica el régimen de transferencia internacional de la Ley N° 21.719 (Política de Transferencias Internacionales).

6. Asistencia al Responsable (REESCRITO F1)

OdontoCloud asistirá al Cliente, dentro de las capacidades de la plataforma, para:

• atender las solicitudes de derechos del titular (acceso, rectificación, cancelación, oposición, portabilidad, bloqueo y oposición a decisiones automatizadas);
• cumplir sus obligaciones de seguridad y de notificación de brechas (Doc 09);
• realizar Evaluaciones de Impacto (EIPD) y consultas previas a la Agencia cuando proceda;
• someterse a auditorías razonables del Cliente, con preaviso y sin comprometer la seguridad de otros clientes.

7. Devolución y Destrucción de Datos (REESCRITO F1 — alinea C-4)

Al término del contrato rige el procedimiento del Doc 04 §6 y Doc 15: ventana de portabilidad de 90 días, conservación de la FCE por el plazo legal de 15 años (Art. 16 D.S. 41) que prevalece sobre la vigencia contractual, y destrucción condicionada (recepción confirmada por el Cliente, instrucción escrita, cumplimiento del plazo de 15 años, u orden judicial). Queda prohibida la destrucción automática por mero transcurso de un plazo de gracia. OdontoCloud emite certificado de destrucción a requerimiento.