Acuerdo de Procesamiento de Datos

1. Roles y responsabilidades

• Responsable del Tratamiento: El consultorio decide los fines y medios del tratamiento de los datos de sus pacientes y personal.
• Encargado del Tratamiento: Codesofsas SAS trata los datos exclusivamente por instrucción del Responsable, para prestar los servicios contratados, y no los utiliza para fines propios.

2. Categorías de datos tratados

• Datos de identificación y contacto (nombre, cédula, teléfono, correo)
• Datos de salud (historial clínico, odontograma, diagnósticos, tratamientos, recetas)
• Datos de facturación (RUC, comprobantes electrónicos)
• Datos de menores, cuando el consultorio atiende odontopediatría (requiere consentimiento del representante legal)

3. Sub-encargados autorizados

Codesofsas SAS puede transferir datos a los siguientes sub-encargados, todos bajo contratos de confidencialidad equivalentes a este DPA:

• FacturaTrack — emisión de comprobantes electrónicos
• Kushki — procesamiento de pagos con tarjeta
• Amazon Web Services (AWS) — almacenamiento e infraestructura
• Proveedores de correo transaccional — envío de notificaciones (facturas, recordatorios)
• Google LLC — sincronización de citas con Google Calendar (opcional, solo si el usuario lo activa)

4. Medidas de seguridad

• Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256) para datos de salud
• Base de datos independiente por consultorio (aislamiento total entre tenants)
• Backups diarios cifrados con retención mínima de 30 días
• Acceso al panel de administración de plataforma restringido a personal autorizado con 2FA
• Registros de auditoría para accesos a datos clínicos en producción

5. Transferencias internacionales

AWS y Google LLC tienen servidores en múltiples regiones. La región primaria utilizada es us-east-1 (Virginia, EE.UU.). Estas transferencias se realizan bajo las Cláusulas Contractuales Estándar aprobadas por la Superintendencia de Protección de Datos de Ecuador o las garantías equivalentes reconocidas por la LOPDP.

6. Notificación de incidentes de seguridad

En caso de una brecha de seguridad que afecte datos personales, Codesofsas SAS notificará al Responsable del Tratamiento dentro de las 72 horas de conocido el incidente, indicando: naturaleza del incidente, categorías y volumen aproximado de datos afectados, medidas adoptadas y recomendaciones para el Responsable.

7. Derechos de los titulares (ARCO+)

El Responsable del Tratamiento es quien debe atender las solicitudes de los titulares de datos. Codesofsas SAS proporcionará asistencia técnica razonable para que el Responsable pueda cumplir los derechos ARCO+ reconocidos por la LOPDP:

• Acceso — conocer qué datos se tratan
• Rectificación — corregir datos inexactos
• Eliminación — suprimir datos cuando no existe base legal para conservarlos
• Oposición — oponerse a tratamientos basados en interés legítimo
• Suspensión del tratamiento — limitar el uso mientras se resuelve una controversia
• Portabilidad — recibir los datos en formato interoperable
• No ser objeto de decisiones automatizadas — con efectos jurídicos significativos
• Revocación del consentimiento — sin efecto retroactivo

Autoridad de control: Superintendencia de Protección de Datos de Ecuador.

8. Política de salida

Al cancelar la suscripción, el Responsable tiene 30 días corridos para exportar sus datos desde el panel de administración. Transcurrido ese plazo, Codesofsas SAS procederá a la eliminación definitiva e irrecuperable de todos los datos del consultorio, incluyendo la base de datos tenant, archivos adjuntos y backups asociados.

9. Vigencia y modificaciones

Este DPA está vigente mientras exista una relación contractual entre las partes. Codesofsas SAS puede actualizarlo con previo aviso de 15 días a través del correo registrado del administrador del consultorio. El uso continuado de la plataforma implica la aceptación de las nuevas condiciones.