Acuerdo de Encargo de Tratamiento

Este acuerdo se celebra entre el centro que contrata Vanty ABA (el "Centro"), como responsable del tratamiento, y Andrew Jonathan Manasias Martínez Albitres, RUC 10763965312, nombre comercial "Vanty", Jr. Francisco Pizarro 387, Bellavista, Callao, Perú ("Vanty"), como encargado del tratamiento, conforme a la Ley N.º 29733, Ley de Protección de Datos Personales, y su reglamento.

Su objeto es regular cómo Vanty trata, por cuenta del Centro, los datos personales que el Centro y sus usuarios registran en la plataforma. Complementa los Términos de Servicio y la Política de Privacidad; en caso de contradicción sobre el tratamiento de los datos del Centro, prevalece este acuerdo.

• Pacientes (incluidos menores de edad): datos de identificación, fecha de nacimiento, diagnóstico, evaluaciones, programas terapéuticos, registros de sesión, progreso, documentos e informes clínicos. Son datos sensibles de salud.
• Familias y tutores: nombre, datos de contacto, parentesco con el paciente, mensajes y formularios.
• Personal del centro: nombre, correo, teléfono, rol, especialidad y actividad en la plataforma.
• Datos administrativos: citas, pagos y recibos que registra el Centro.

Vanty trata los datos únicamente para prestar la plataforma al Centro (gestión clínica, agenda, comunicación con familias, informes y, si el Centro las activa, funciones de IA) y siguiendo las instrucciones documentadas del Centro, que son el uso y la configuración que hace de la plataforma.

Vanty no usa los datos del Centro para fines propios, no los vende, no los usa con fines publicitarios ni para entrenar modelos de inteligencia artificial.

• Confidencialidad: solo acceden a los datos personas obligadas a confidencialidad, y únicamente cuando es necesario para prestar o dar soporte al servicio.
• Seguridad: aplicar las medidas técnicas y organizativas descritas en este acuerdo.
• Legalidad: informar al Centro si, en su opinión, una instrucción infringe la normativa de protección de datos.
• Registros: mantener registros de actividad y auditoría de las acciones relevantes en la plataforma.

El Centro autoriza a Vanty a utilizar los siguientes subencargados, sujetos a obligaciones de confidencialidad y seguridad equivalentes a las de este acuerdo:

• Supabase Inc. base de datos, autenticación y almacenamiento de archivos (servidores en São Paulo, Brasil).
• Vercel Inc. alojamiento de la aplicación (Estados Unidos).
• Google LLC envío de correos; y Google Calendar, solo si un usuario lo vincula (Estados Unidos).
• Microsoft Corporation Outlook Calendar, solo si un usuario lo vincula (Estados Unidos).
• Groq, Inc. · DeepInfra, Inc. inteligencia artificial, solo si el Centro activa las funciones de IA; DeepInfra solo como respaldo (Estados Unidos).
• Tavily · OpenAlex búsqueda en internet y académica para ARIA; solo reciben la pregunta general, sin datos de pacientes (Estados Unidos).

Como compromiso contractual adicional de Vanty (no como un plazo exigido por la Ley N.º 29733), Vanty informará al Centro de cualquier cambio de subencargado a través de la plataforma o por correo con al menos 15 días de anticipación. Si el Centro se opone por motivos razonables, podrá terminar el servicio sin penalidad.

Como los subencargados alojan o procesan datos fuera del Perú, el Centro autoriza estos flujos transfronterizos, que se realizan con las garantías adecuadas conforme a la normativa aplicable.

• Cifrado en reposo (AES-256) y en tránsito (TLS).
• Aislamiento por centro mediante políticas de seguridad a nivel de fila.
• Acceso por roles y verificación en dos pasos disponible para todas las cuentas.
• Datos mínimos a la IA solo con la autorización previa del Centro, que puede retirar en cualquier momento.
• Copias de respaldo y registros de actividad para detectar e investigar incidentes.

Vanty notificará al Centro de forma inmediata y sin dilación indebida desde que tome conocimiento de un incidente de seguridad que afecte datos personales tratados por cuenta del Centro, por correo a la cuenta que creó el centro. La notificación incluirá, en la medida en que la información esté disponible, la naturaleza del incidente, las categorías de datos y titulares afectados, las posibles consecuencias y las medidas adoptadas o propuestas; Vanty no esperará a completar la investigación para dar el primer aviso.

Vanty colaborará con el Centro para que este pueda cumplir oportunamente las obligaciones de notificación que le correspondan conforme a la normativa aplicable, incluidas las que tenga frente a la Autoridad Nacional de Protección de Datos Personales y a los titulares, y mantendrá un registro interno de incidentes con los hechos, sus efectos y las medidas adoptadas.

Las solicitudes de acceso, rectificación, cancelación u oposición sobre pacientes y familias las atiende el Centro, como responsable. Vanty pondrá a su disposición las herramientas de la plataforma (edición, exportación y eliminación) y, si recibe una solicitud directamente, la derivará al Centro sin responderla en su nombre.

• Base legal: contar con el consentimiento de los pacientes o de sus padres o tutores legales, u otra base legal, para registrar sus datos y, si las activa, para usar las funciones de IA.
• Inscripción: inscribir sus propios bancos de datos personales (pacientes) ante el Registro Nacional de Protección de Datos Personales cuando corresponda.
• Cuentas: gestionar quién tiene acceso, desactivar las cuentas de quienes dejen de trabajar con él y mantener la confidencialidad de las credenciales.
• Exactitud: registrar datos exactos y solo los necesarios para la atención.

Mientras el servicio esté activo, el Centro puede exportar su información desde la plataforma. Cuando el Centro elimina su cuenta, Vanty borra los datos del Centro, sus archivos y las cuentas vinculadas solo a ese centro, salvo lo que la ley le obligue a conservar. Las copias de respaldo se eliminan según el ciclo de retención de respaldos de nuestro proveedor de infraestructura (actualmente, no más de 30 días).

Los plazos de conservación de las historias clínicas son responsabilidad del Centro: antes de eliminar su cuenta, el Centro debe conservar, fuera de la plataforma, la información que la ley le obliga a mantener.

Vanty pondrá a disposición del Centro, previa solicitud razonable a vantysupport@gmail.com, la información necesaria para demostrar el cumplimiento de este acuerdo, incluida la lista de subencargados y una descripción de las medidas de seguridad vigentes.

El Centro acepta este acuerdo al crear su cuenta en la plataforma o cuando su dirección lo acepta en el aviso de la plataforma, y se mantiene vigente mientras Vanty trate datos por su cuenta. Vanty podrá actualizarlo para reflejar cambios normativos o del servicio; los cambios relevantes se anunciarán en la plataforma y requerirán una nueva aceptación.