Acuerdo de Tratamiento de Datos

• Objeto: prestación del Servicio de gestión clínica contratado.
• Finalidad: alojar, procesar y mostrar la información necesaria para que la clínica gestione su agenda, expedientes, tratamientos, cobros y comunicaciones con pacientes.
• Duración: mientras esté vigente la suscripción, más los plazos de exportación y conservación previstos en los Términos.
• Naturaleza: almacenamiento, consulta, organización, respaldo, transmisión y supresión por medios automatizados.

Categorías de interesados: pacientes de la clínica, personal de la clínica y contactos administrativos.

Categorías de datos:

• Identificativos y de contacto: nombre, documento, fecha de nacimiento, teléfono, correo, dirección.
• Datos de salud (categoría sensible): historia y anamnesis, alergias, odontograma, diagnósticos, tratamientos, recetas, incapacidades, consentimientos e imágenes clínicas.
• Económicos: presupuestos, cargos, pagos y estado de cuenta.
• Técnicos: registros de acceso, dirección IP y dispositivo del personal de la clínica.

DentalHN se obliga a:

• Tratar los datos únicamente conforme a las instrucciones documentadas del Responsable (el uso del Servicio y este DPA constituyen dichas instrucciones), y no para fines propios distintos de operar y asegurar el Servicio.
• No vender los datos, no cederlos a terceros salvo los subencargados autorizados o mandato legal, y no usar información clínica identificable para publicidad ni para entrenar modelos de inteligencia artificial.
• Garantizar que su personal está sujeto a deber de confidencialidad, con vigencia indefinida.
• Aplicar las medidas de seguridad de la cláusula 5.
• Asistir al Responsable en la atención de solicitudes de los titulares y en el análisis de incidentes.
• Poner a disposición la información necesaria para acreditar el cumplimiento de estas obligaciones.

• Contar con base legal o consentimiento del paciente para tratar sus datos de salud e informarle del tratamiento.
• Gestionar de forma diligente los usuarios y permisos de su personal, y revocar accesos cuando corresponda.
• Usar el Servicio conforme a la normativa sanitaria, de secreto profesional y colegial aplicable.
• Responder, como responsable, ante los titulares que ejerzan sus derechos.

• Cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones con la aplicación.
• Aislamiento por clínica a nivel de base de datos (seguridad a nivel de fila): cada consulta queda acotada a la organización correspondiente, no solo por filtros de la aplicación.
• Control de acceso por roles y permisos configurables por la clínica.
• Registro de accesos (usuario, fecha, IP y dispositivo) para auditoría.
• Respaldos periódicos de la base de datos y cifrado de los tokens de integraciones.
• Gestión de credenciales fuera del código fuente y actualizaciones de seguridad del entorno.

Ningún sistema es infalible; estas medidas se revisan y actualizan conforme evoluciona el Servicio.

El Responsable autoriza de forma general a DentalHN a recurrir a proveedores que traten datos por su cuenta para operar el Servicio (alojamiento, envío de correo y mensajería, procesamiento de pagos). La lista vigente está publicada en dentalhn.com/subprocesadores.

Anunciaremos la incorporación o sustitución de un subencargado con al menos treinta (30) días de antelación. Si el Responsable se opone por motivos razonables de protección de datos, podrá resolver la suscripción sin penalización. Todo subencargado queda sujeto a obligaciones equivalentes a las de este DPA.

Si un paciente ejerce ante DentalHN sus derechos de acceso, rectificación, supresión, oposición o portabilidad, lo remitiremos a su clínica (Responsable) y la asistiremos para atenderlo. El Servicio incluye funciones de consulta, corrección y exportación para que la clínica pueda responder por sí misma, con la salvedad de los plazos legales de conservación del expediente clínico.

Ante una violación de seguridad que afecte datos personales tratados por cuenta del Responsable, DentalHN se lo notificará sin dilación indebida y, a más tardar, dentro de las 72 horas siguientes a su confirmación, indicando la naturaleza del incidente, los datos y personas afectadas en la medida conocida, las consecuencias probables y las medidas adoptadas o propuestas. La notificación a los titulares o a autoridades, cuando proceda, corresponde al Responsable.

Terminada la relación, el Responsable dispone de sesenta (60) días para exportar su información desde la aplicación. Transcurrido ese plazo, DentalHN suprimirá o anonimizará los datos, salvo aquellos que deba conservar por obligación legal. Las copias de respaldo se eliminan conforme a su ciclo de expiración.

Conservación sanitaria: el expediente clínico está sujeto a plazos legales de conservación en Honduras (mínimo cinco años en archivo activo, más el plazo de archivo pasivo que fije la normativa). El Responsable es quien determina y gestiona esa conservación.

A solicitud razonable y motivada del Responsable (máximo una vez al año, salvo incidente o requerimiento de autoridad), DentalHN facilitará la información necesaria para acreditar el cumplimiento de este DPA, y atenderá cuestionarios de seguridad. Cualquier auditoría se coordinará con antelación, sin comprometer la seguridad ni la confidencialidad de otros clientes.

La aplicación, la base de datos y los archivos se alojan en servidores ubicados en Estados Unidos, operados por nuestro proveedor de infraestructura. El resto de proveedores, con su finalidad y país, se detallan en la página de subprocesadores.

Cuando un proveedor trata datos fuera de Honduras, exigimos por contrato un nivel de protección equivalente al de este Acuerdo, incluidas obligaciones de confidencialidad, seguridad y supresión.

Este DPA se acepta junto con los Términos al crear la cuenta y permanece vigente mientras dure la suscripción. Publicaremos la versión vigente en esta página; los cambios materiales requerirán nueva aceptación. Consultas sobre protección de datos: soporte@dentalhn.com.