Patient Universe: Contrato de encargo del tratamiento (art. 28 RGPD)

Fecha de entrada en vigor / última actualización: 15 de octubre de 2026

El presente contrato de encargo del tratamiento (el «Contrato de encargo») sigue la estructura de las cláusulas contractuales tipo de la Comisión Europea entre responsables y encargados del tratamiento (Decisión de Ejecución (UE) 2021/915).

Entre

El Responsable del tratamiento: [nombre de la organización], [forma jurídica], domicilio social [dirección], número de empresa/registro [número], representada por [nombre, cargo] (el «Responsable del tratamiento» o «la Organización»), una organización que crea y gestiona uno o varios grupos en Patient Universe;

y

El Encargado del tratamiento: Esperity BV, sociedad de responsabilidad limitada belga (besloten vennootschap), con domicilio social en Boulevard Brand Whitlock 108, 1200 Bruselas, Bélgica, número de empresa/IVA BE 0848.466.027, representada conjuntamente por Mitchell Silva, CEO, y el Dr. Erard le Beau de Hemricourt, CMO («Esperity» o el «Encargado del tratamiento»).

El presente Contrato de encargo forma parte del contrato celebrado entre las partes para el uso de Patient Universe (el «Contrato principal»). Lo firman por separado cada Organización y Esperity.

Sección I: Disposiciones generales

Cláusula 1. Objeto y ámbito de aplicación

1.1 El presente Contrato de encargo garantiza el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 (RGPD) y, cuando proceda, de la ley belga de 30 de julio de 2018 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales.

1.2 Se aplica al tratamiento de los datos personales descrito en el Anexo I. Esperity trata esos datos por cuenta del Responsable del tratamiento para prestar el grupo o los grupos que el Responsable del tratamiento ha creado en Patient Universe.

1.3 Los Anexos I a III forman parte integrante del presente Contrato de encargo.

1.4 El presente Contrato de encargo no se aplica a los tratamientos de los que Esperity es ella misma responsable, tal como se establece en la Política de privacidad de Patient Universe, a saber:
(a) la cuenta de la plataforma: dirección de correo electrónico, inicio de sesión, idioma y lista de grupos a los que pertenece un miembro. Se utiliza una sola cuenta (una sola dirección de correo electrónico) para todos los grupos;
(b) los grupos iniciados por Esperity;
(c) el sitio web de Esperity, incluidas las estadísticas del sitio web, y sus solicitudes de contacto, de demostración y de tarifas;
(d) la relación comercial de Esperity con el Responsable del tratamiento, incluidos los contratos y la facturación.
Esperity pone a disposición del Responsable del tratamiento únicamente los datos de la cuenta necesarios para la pertenencia al grupo del Responsable del tratamiento. No muestra al Responsable del tratamiento a qué otros grupos se ha unido un miembro.

1.5 El presente Contrato de encargo no se aplica a los proyectos con socios (como consejos asesores, encuestas o cocreación llevados a cabo por investigadores o por empresas farmacéuticas y de ciencias de la vida). Dichos proyectos se desarrollan con arreglo a acuerdos escritos independientes. La parte que lleva a cabo un proyecto es responsable de sus propios tratamientos.

Cláusula 2. Invariabilidad

2.1 Las partes no modificarán estas cláusulas, salvo para completar los Anexos o actualizar la información que figura en ellos.

2.2 Ello no impide a las partes incluir estas cláusulas en un contrato más amplio, ni añadir cláusulas o garantías, siempre que no contradigan estas cláusulas ni reduzcan los derechos de los interesados.

Cláusula 3. Interpretación

Los términos definidos en el RGPD tienen el mismo significado en el presente Contrato de encargo. Estas cláusulas se interpretan a la luz del RGPD y no reducen las obligaciones que este impone a las partes.

Cláusula 4. Jerarquía

En caso de contradicción entre estas cláusulas y el Contrato principal o cualquier otro acuerdo entre las partes, prevalecen estas cláusulas en materia de protección de datos.

Sección II: Obligaciones de las partes

Cláusula 5. Descripción del tratamiento

Los detalles del tratamiento figuran en el Anexo I.

Cláusula 6. Obligaciones del Responsable del tratamiento

6.1 El Responsable del tratamiento determina los fines y los medios del tratamiento de los datos de los grupos que ha creado. Es responsable de disponer de una base jurídica válida, también en virtud del artículo 9 del RGPD para los datos relativos a la salud (Anexo I, sección E).

6.2 El Responsable del tratamiento decide, en su portal de administración, qué cuentas se admiten en sus grupos o se excluyen de ellos, qué funciones tienen (administrador, editor, moderador, administrador de grupo), qué contenido es visible para quién, cómo se moderan sus grupos y qué módulos se activan. Solo concede acceso de administración a personas autorizadas sujetas a confidencialidad.

6.3 El Responsable del tratamiento facilita a los miembros la información exigida por los artículos 13 y 14 del RGPD. Puede publicar su propio aviso de privacidad para su grupo, que se aplica entonces junto con la Política de privacidad de Patient Universe. Cuando el Responsable del tratamiento añade sus propios formularios o campos de datos, a esos campos se aplican sus términos y su aviso de privacidad específicos del grupo.

6.4 Cuando el Responsable del tratamiento trata datos relativos a la salud, lleva una lista de las categorías de personas con acceso y de sus funciones, y garantiza que estén sujetas a confidencialidad, tal como exige el artículo 9 de la ley belga de 30 de julio de 2018 o las normas nacionales equivalentes. La gestión de funciones y el registro de auditoría de la plataforma facilitan este cumplimiento.

6.5 El Responsable del tratamiento no da acceso a los datos de los miembros a través de Patient Universe a patrocinadores, empresas farmacéuticas o de ciencias de la vida ni a otros socios. Puede compartir información anónima y agregada, pero nunca la identidad de los miembros ni listas de miembros.

Cláusula 7. Obligaciones del Encargado del tratamiento

7.1 Instrucciones. Esperity trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, salvo que el Derecho de la Unión o de un Estado miembro exija otra cosa. En tal caso, Esperity informa al Responsable del tratamiento de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público. Son instrucciones documentadas:
(a) el presente Contrato de encargo y el Contrato principal;
(b) la configuración y las acciones que el Responsable del tratamiento realiza en su portal de administración, incluida la configuración del acceso (cuentas admitidas y excluidas, funciones, visibilidad del contenido), la configuración de la moderación y los módulos activados;
(c) otras instrucciones escritas del Responsable del tratamiento.
Esperity informa inmediatamente al Responsable del tratamiento si, en su opinión, una instrucción infringe el RGPD u otra normativa de protección de datos.

7.2 Limitación de la finalidad. Esperity trata los datos únicamente para los fines indicados en el Anexo I. En particular, Esperity no:
(a) utiliza los datos de los grupos del Responsable del tratamiento para sus propios fines ni con fines publicitarios;
(b) vende datos personales;
(c) da acceso a los datos de los miembros a patrocinadores, empresas farmacéuticas o de ciencias de la vida ni a otros terceros;
(d) comparte datos de los miembros con ningún socio, salvo cuando un miembro concreto haya dado su consentimiento explícito a un proyecto con socios determinado y el Responsable del tratamiento haya dado a Esperity instrucciones en ese sentido.

7.3 Duración. Esperity trata los datos únicamente durante el período indicado en el Anexo I.

7.4 Seguridad.
(a) Esperity aplica, como mínimo, las medidas técnicas y organizativas indicadas en el Anexo II para garantizar la seguridad de los datos, incluida la protección frente a violaciones de la seguridad de los datos personales. Para ello tiene en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los interesados.
(b) Esperity solo concede acceso a los datos al personal y a los colaboradores externos que lo necesiten para ejecutar, gestionar y supervisar el Contrato principal y que estén sujetos a confidencialidad.

7.5 Datos sensibles. Dado que la mayoría de los grupos se centran en una enfermedad o un ámbito de salud concreto, el tratamiento incluirá a menudo datos relativos a la salud (art. 9 RGPD). Esperity aplica las garantías adicionales indicadas en el Anexo II, sección B. Patient Universe está destinado exclusivamente a personas de 18 años o más; no se permiten cuentas de personas menores de 18 años.

7.6 Documentación y cumplimiento.
(a) Cada parte debe poder demostrar el cumplimiento de estas cláusulas.
(b) Esperity atiende con prontitud y de forma adecuada las consultas del Responsable del tratamiento sobre el tratamiento.
(c) Esperity pone a disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, y permite y contribuye a la realización de auditorías del modo siguiente.
(d) Las auditorías se realizan principalmente mediante documentación: los registros de las actividades de tratamiento de Esperity, la documentación de seguridad, la información sobre los subencargados del tratamiento y las certificaciones o informes de auditoría pertinentes de Esperity y de sus subencargados del tratamiento.
(e) Cuando la documentación no sea suficiente, el Responsable del tratamiento podrá realizar una auditoría, o encargarla a un auditor independiente sujeto a confidencialidad, una vez al año. Deberá avisar por escrito con al menos 30 días de antelación. También podrá realizarse una auditoría en cualquier momento tras una violación de la seguridad de los datos personales o a petición de una autoridad de control. Las auditorías se realizan en horario laboral y sin perturbar de forma desproporcionada las operaciones de Esperity ni los datos de otros clientes.
(f) El Responsable del tratamiento asume los costes de la auditoría. Esperity asume sus propios costes si la auditoría revela un incumplimiento sustancial del presente Contrato de encargo por parte de Esperity.
(g) Ambas partes ponen esta información, incluidos los resultados de las auditorías, a disposición de la autoridad de control competente cuando esta lo solicite.

7.7 Recurso a subencargados del tratamiento.
(a) Esperity cuenta con la autorización general por escrito del Responsable del tratamiento para recurrir a los subencargados del tratamiento enumerados en el Anexo III.
(b) Esperity informa por escrito al Responsable del tratamiento, con al menos 30 días de antelación, de cualquier incorporación o sustitución prevista de un subencargado del tratamiento. Durante ese plazo, el Responsable del tratamiento puede oponerse por motivos razonables relacionados con la protección de datos. Si las partes no pueden resolver la oposición, el Responsable del tratamiento puede resolver el servicio afectado sin penalización antes de que el cambio surta efecto.
(c) Esperity recurre a cada subencargado del tratamiento en virtud de un contrato escrito que le impone, en lo esencial, las mismas obligaciones de protección de datos que el presente Contrato de encargo.
(d) A petición, Esperity facilita una copia de las condiciones pertinentes del subencargado del tratamiento; la información comercial puede ocultarse.
(e) Esperity sigue siendo plenamente responsable ante el Responsable del tratamiento del cumplimiento por parte de sus subencargados del tratamiento. Informa al Responsable del tratamiento si un subencargado del tratamiento incumple sus obligaciones contractuales.

7.8 Transferencias internacionales.
(a) Esperity almacena los datos del Responsable del tratamiento en la Unión Europea: la base de datos, el back-end y la autenticación en servidores de Supabase en Alemania, y el sitio web y la aplicación en los servidores de Lovable en la UE.
(b) Varios subencargados del tratamiento son empresas estadounidenses o empresas de grupos estadounidenses que pueden acceder a los datos desde fuera de la UE, por ejemplo para soporte o mantenimiento. Cualquier transferencia de este tipo está cubierta por una decisión de adecuación (el Marco de Privacidad de Datos UE-EE. UU., para empresas certificadas) o por las cláusulas contractuales tipo de la Comisión Europea (Decisión (UE) 2021/914), con medidas complementarias cuando sea necesario, tal como se indica en el Anexo III.
(c) Cualquier otra transferencia a un tercer país requiere una instrucción documentada o una autorización del Responsable del tratamiento (también mediante su inclusión en el Anexo III) y debe cumplir el capítulo V del RGPD.

Cláusula 8. Asistencia al Responsable del tratamiento

8.1 Esperity informa con prontitud al Responsable del tratamiento de cualquier solicitud que reciba directamente de un interesado en relación con los datos de los grupos del Responsable del tratamiento. No responde por sí misma salvo que el Responsable del tratamiento la autorice, pero puede acusar recibo y remitir a la persona al Responsable del tratamiento.

8.2 Esperity asiste al Responsable del tratamiento en la respuesta a las solicitudes de los interesados mediante:
(a) funciones de autoservicio para los miembros: descarga de sus propios datos y eliminación de la cuenta;
(b) funciones de administración que permiten al Responsable del tratamiento buscar, exportar, rectificar y suprimir los datos de un miembro en sus grupos;
(c) el apoyo de Esperity a petición, a tiempo para que el Responsable del tratamiento cumpla los plazos del RGPD.

8.3 Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, Esperity asiste también al Responsable del tratamiento en:
(a) las evaluaciones de impacto relativas a la protección de datos (art. 35 RGPD), en particular facilitando una descripción de la plataforma, de sus flujos de datos y de sus medidas de seguridad que el Responsable del tratamiento puede utilizar en su propia evaluación;
(b) la consulta previa a la autoridad de control (art. 36 RGPD);
(c) el mantenimiento de la exactitud y actualización de los datos, informando sin demora al Responsable del tratamiento si Esperity tiene conocimiento de que algún dato es inexacto o está desactualizado;
(d) las obligaciones del artículo 32 del RGPD.

Cláusula 9. Violaciones de la seguridad de los datos personales

9.1 Violación en Esperity o en sus subencargados del tratamiento. Esperity notifica al Responsable del tratamiento sin dilación indebida, y a más tardar en un plazo de 48 horas desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a los datos del Responsable del tratamiento. La notificación se dirige al contacto del Responsable del tratamiento indicado en el Anexo I. La notificación contiene, como mínimo:
(a) la naturaleza de la violación, incluidas, cuando sea posible, las categorías y el número aproximado de interesados y de registros afectados;
(b) los datos de contacto de un punto de contacto en el que pueda obtenerse más información;
(c) las consecuencias probables, así como las medidas adoptadas o propuestas para poner remedio a la violación y mitigar sus posibles efectos negativos.
Cuando no sea posible facilitar toda la información al mismo tiempo, Esperity la facilita de manera gradual sin más dilación indebida.

9.2 Esperity asiste al Responsable del tratamiento en la notificación a la autoridad de control competente en un plazo de 72 horas desde que el Responsable del tratamiento tenga conocimiento de la violación (art. 33 RGPD) y, cuando sea necesario, en la comunicación a los interesados (art. 34 RGPD).

9.3 Violación en el Responsable del tratamiento. Esperity coopera con el Responsable del tratamiento y le asiste en el cumplimiento de sus obligaciones derivadas de los artículos 33 y 34 del RGPD.

9.4 Esperity lleva un registro de todas las violaciones de la seguridad de los datos personales que afecten a los datos del Responsable del tratamiento.

Sección III: Disposiciones finales

Cláusula 10. Incumplimiento y resolución

10.1 Si Esperity incumple el presente Contrato de encargo, el Responsable del tratamiento puede ordenar a Esperity que suspenda el tratamiento hasta que lo cumpla o hasta que se resuelva el Contrato de encargo. Esperity informa con prontitud al Responsable del tratamiento si no puede cumplirlo.

10.2 El Responsable del tratamiento puede resolver el presente Contrato de encargo y el tratamiento afectado en virtud del Contrato principal si:
(a) el tratamiento se ha suspendido con arreglo al apartado 10.1 y el cumplimiento no se restablece en un plazo razonable y, en cualquier caso, en el plazo de un mes;
(b) Esperity incumple de forma sustancial o persistente el presente Contrato de encargo o sus obligaciones derivadas del RGPD;
(c) Esperity no cumple una resolución vinculante de un órgano jurisdiccional o de una autoridad de control competente relativa a sus obligaciones derivadas del presente Contrato de encargo o del RGPD.

10.3 Esperity puede poner fin al tratamiento afectado si, después de haber informado al Responsable del tratamiento de que una instrucción infringe la ley, el Responsable del tratamiento insiste en ella.

10.4 Eliminación de una cuenta durante la vigencia. Cuando un miembro elimina su cuenta, Esperity suprime o anonimiza los datos personales de ese miembro en los grupos del Responsable del tratamiento en un plazo de 30 días, también en las copias de seguridad. Puede permanecer el contenido que otros ya hayan citado en sus respuestas o que deba conservarse por ley.

10.5 Cierre de un grupo. Si el Responsable del tratamiento cierra un grupo, o si el Contrato principal finaliza:
(a) los miembros son informados con antelación y pueden descargar antes sus datos;
(b) a elección del Responsable del tratamiento, Esperity devuelve todos los datos personales del grupo o de los grupos al Responsable del tratamiento en un formato estructurado, de uso común y de lectura mecánica, y/o los suprime;
(c) la devolución y la supresión se completan en un plazo de 30 días a partir del cierre o de la finalización del Contrato principal, también en las copias de seguridad, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación;
(d) Esperity confirma la supresión por escrito si así se le solicita.
Hasta que los datos se supriman o se devuelvan, Esperity sigue garantizando el cumplimiento del presente Contrato de encargo.

Cláusula 11. Responsabilidad

11.1 Cada parte es responsable frente a los interesados conforme a lo dispuesto en el artículo 82 del RGPD.

11.2 Entre las partes, Esperity solo responde en virtud del presente Contrato de encargo de los daños que el Responsable del tratamiento demuestre que han sido causados por un incumplimiento por parte de Esperity del presente Contrato de encargo o del RGPD.

11.3 Cuando el Responsable del tratamiento paga a Esperity por el uso de la plataforma, la responsabilidad total de Esperity frente al Responsable del tratamiento en virtud del presente Contrato de encargo y del Contrato principal se limita a los importes pagados por el Responsable del tratamiento en virtud del Contrato principal en los 12 meses anteriores al hecho que causó el daño.

11.4 Cuando el Responsable del tratamiento utiliza la plataforma de forma gratuita, Esperity no es responsable frente al Responsable del tratamiento en virtud del presente Contrato de encargo, en la medida permitida por la ley.

11.5 Las limitaciones de las cláusulas 11.3 y 11.4 no se aplican en caso de fraude, dolo o negligencia grave, ni a ninguna responsabilidad que no pueda limitarse o excluirse conforme a la legislación aplicable. No afectan a los derechos de los interesados en virtud del artículo 82 del RGPD.

11.6 Cada parte asume cualquier multa administrativa que se le imponga por su propia infracción.

Cláusula 12. Duración, legislación aplicable e idioma

12.1 El presente Contrato de encargo entra en vigor al mismo tiempo que el Contrato principal. Permanece en vigor mientras Esperity trate datos personales por cuenta del Responsable del tratamiento, incluido el período de devolución y supresión previsto en la cláusula 10.5.

12.2 El presente Contrato de encargo se rige por el Derecho belga. Los tribunales de Bruselas tienen competencia exclusiva para conocer de cualquier litigio derivado del mismo.

12.3 Las organizaciones establecidas fuera de Bélgica pueden firmar el presente Contrato de encargo. Cuando el Responsable del tratamiento esté establecido fuera de la UE/EEE, Esperity decide en cada caso si puede firmar el presente Contrato de encargo, y las partes acuerdan por escrito, antes del inicio del tratamiento, las garantías adicionales necesarias para esa situación (por ejemplo, las cláusulas contractuales tipo de la Comisión Europea, módulo 4: de encargado a responsable del tratamiento).

12.4 El presente Contrato de encargo está disponible en inglés, neerlandés, francés y español. Si las versiones lingüísticas difieren, prevalece la versión inglesa.

Firmas

Por el Responsable del tratamiento: nombre, cargo, fecha, firma

Por Esperity BV, firmado conjuntamente por:

• Mitchell Silva, CEO: fecha, firma
• Dr. Erard le Beau de Hemricourt, CMO: fecha, firma

Anexo I: Descripción del tratamiento

A. Partes y contactos

• Responsable del tratamiento: véase más arriba. Contacto para cuestiones de protección de datos y notificaciones de violaciones: [nombre, correo electrónico]. DPO (si lo hubiera): [datos].
• Encargado del tratamiento: Esperity BV, véase más arriba. Contacto, también para violaciones de seguridad: info@esperity.com. Delegado de protección de datos: Chino.io (DPO externo), contacto a través de info@esperity.com.

B. Categorías de interesados

• Miembros de los grupos del Responsable del tratamiento, admitidos por el Responsable del tratamiento a través de su portal de administración, todos ellos de 18 años o más: pacientes, cuidadores, familiares, voluntarios y otros adultos que el Responsable del tratamiento admita.
• Personal, miembros del órgano de administración y voluntarios del Responsable del tratamiento con funciones de administrador, editor, moderador o administrador de grupo, incluidos los perfiles de la página del equipo.
• Personas que se inscriben en los eventos del Responsable del tratamiento o que rellenan sus formularios o encuestas dentro de sus grupos.

No se incluyen personas menores de 18 años: no se permiten cuentas de personas menores de 18 años.

C. Categorías de datos personales

• Perfil en el grupo: nombre visible o identificador aleatorio (modo anónimo), foto de perfil opcional, temas de interés, insignias (p. ej., paciente, cuidador, voluntario), estado de pertenencia, aprobación o comprobación con la lista de miembros del Responsable del tratamiento.
• Datos de la cuenta facilitados para la pertenencia al grupo: dirección de correo electrónico (nunca se muestra a otros miembros), idioma.
• Contenido: publicaciones, comentarios, reacciones, respuestas a sondeos, mensajes privados, archivos e imágenes subidos.
• Datos de eventos: inscripciones, asistencia, respuestas a preguntas adicionales (p. ej., necesidades de accesibilidad).
• Respuestas a encuestas y formularios, vinculadas o anónimas, incluidos los datos de formularios y campos que el propio Responsable del tratamiento añada.
• Datos de moderación: señalizaciones y motivos, medidas de moderación, advertencias, suspensiones, exposiciones de motivos.
• Datos técnicos: entradas del registro de auditoría, registros de consentimiento (fecha y versión), marcas de tiempo.
• Registros de suscripción al boletín.

Modo anónimo. Los miembros pueden participar con un identificador aleatorio en lugar de su nombre. Los demás miembros nunca ven su dirección de correo electrónico. El Responsable del tratamiento y Esperity pueden seguir vinculando una cuenta a su dirección de correo electrónico a efectos de inicio de sesión, seguridad y moderación.

D. Categorías especiales de datos

Datos relativos a la salud. Dado que la mayoría de los grupos se centran en una enfermedad o un ámbito de salud concreto, la pertenencia a un grupo y su contenido revelarán a menudo información de salud. Los miembros también pueden compartir otras categorías especiales de datos. Garantías: Anexo II, sección B.

E. Base jurídica para los datos relativos a la salud

El Responsable del tratamiento establece la base jurídica en el aviso de privacidad de su grupo. Por defecto, la plataforma solicita el consentimiento explícito del miembro (art. 9.2.a) RGPD), por separado, y lo registra con fecha y versión. El Responsable del tratamiento puede basarse en otra base permitida por el artículo 9.2, como el artículo 9.2.d) para entidades sin ánimo de lucro, si reúne los requisitos y así lo indica en su aviso. Cualquier comunicación de los datos de un miembro a un socio requiere siempre el consentimiento explícito y separado de ese miembro.

F. Naturaleza del tratamiento

Alojamiento, almacenamiento, estructuración, control de acceso según la configuración del portal de administración del Responsable del tratamiento, visualización, consulta, transmisión (notificaciones y correo electrónico), cifrado, seudonimización (modo anónimo), agregación y anonimización (estadísticas del grupo y resultados de encuestas), apoyo a la moderación mediante señalización, cola de moderación, filtro automático de palabras y aprobación previa opcional de las publicaciones de nuevos miembros, exportación, copia de seguridad, restauración y supresión.

G. Fines del tratamiento

Prestar los grupos del Responsable del tratamiento en Patient Universe, con el acceso establecido por el Responsable del tratamiento en su portal de administración y los módulos que active: debates, grupos privados, contenido educativo, eventos, encuestas y formularios, buscador de ensayos clínicos, anuncios, notificaciones, estadísticas del grupo, gestión de miembros y moderación. También soporte, mantenimiento, seguridad y gestión de incidentes, así como cualquier servicio opcional que el Responsable del tratamiento contrate con Esperity, como el apoyo a la moderación.

Las estadísticas del grupo para el Responsable del tratamiento son siempre agregadas y anónimas, nunca por debajo de un tamaño mínimo de grupo de 20.

H. Duración

Durante la vigencia del Contrato principal, más el período de devolución y supresión previsto en la cláusula 10.5. Durante la vigencia, los datos de un miembro se suprimen o anonimizan en un plazo de 30 días después de que el miembro elimine su cuenta, también en las copias de seguridad (cláusula 10.4).

I. Frecuencia

Continua.

Anexo II: Medidas técnicas y organizativas

A. Medidas generales

1. Alojamiento en la UE: base de datos, back-end y autenticación en servidores de Supabase en Alemania; sitio web y aplicación en los servidores de Lovable en la UE.
2. Cifrado de los datos en tránsito y en reposo.
3. Cifrado adicional de los campos sensibles.
4. Inicio de sesión mediante enlace seguro por correo electrónico, sin contraseñas.
5. Autenticación de dos factores para los administradores.
6. Acceso basado en funciones, establecido por cada Responsable del tratamiento en su portal de administración (administrador, editor, moderador, administrador de grupo).
7. Registro de auditoría de las acciones de administración.
8. Separación de los datos por organización.
9. Contenido de los grupos privados visible solo para los miembros de ese grupo y no indexado por los motores de búsqueda.
10. Copias de seguridad incluidas en la supresión en un plazo de 30 días tras la eliminación de una cuenta y al final del contrato.
11. Compromisos de confidencialidad de todo el personal y los colaboradores externos de Esperity con acceso a los datos; retirada del acceso cuando se marchan.
12. Un procedimiento para las violaciones de la seguridad de los datos personales que respeta los plazos de la cláusula 9.
13. Protección de datos desde el diseño y por defecto: los módulos solo se activan cuando el Responsable del tratamiento lo decide; los miembros eligen su configuración de notificaciones; el modo anónimo está disponible.

B. Garantías adicionales para los datos relativos a la salud

1. Por defecto, consentimiento explícito y separado para los datos relativos a la salud, registrado con fecha y versión.
2. Estadísticas del grupo siempre agregadas y anónimas, nunca por debajo de un tamaño mínimo de grupo de 20.
3. Sin acceso a los datos de los miembros para patrocinadores, empresas farmacéuticas o de ciencias de la vida ni otros socios.
4. Los miembros pueden descargar y suprimir sus propios datos en cualquier momento.
5. Las direcciones de correo electrónico nunca se muestran a otros miembros.
6. El personal de Esperity solo accede a los datos de los grupos para soporte, seguridad o mantenimiento, o a petición del Responsable del tratamiento.
7. Apoyo a la lista del Responsable del tratamiento de personas con acceso a datos relativos a la salud (gestión de funciones y registro de auditoría).
8. Patient Universe está destinado exclusivamente a personas de 18 años o más; las cuentas de personas menores de 18 años se cierran cuando Esperity tiene conocimiento de ellas.

C. Asistencia en relación con los derechos de los interesados

Descarga y eliminación en autoservicio por parte de los miembros; herramientas de administración para buscar, exportar, rectificar y suprimir los datos de un miembro; apoyo de Esperity a petición (cláusula 8).

Anexo III: Subencargados del tratamiento autorizados

Google Analytics solo se utiliza en el sitio web público de Esperity, previo consentimiento, y nunca dentro de los grupos. No trata datos de los grupos del Responsable del tratamiento y no es un subencargado del tratamiento en virtud del presente Contrato de encargo.