ACUERDO DE ENCARGO DE TRATAMIENTO DE DATOS
Garantía Esencial de No Comercialización y Aislamiento Clínico
OptiGestion y su titular Volpex Studios S.C. actúan exclusivamente en calidad de Encargado del Tratamiento. Se establece formalmente que no utilizaremos, venderemos, alquilaremos ni comercializaremos las listas, historiales clínicos ni datos de los pacientes de tu óptica bajo ninguna circunstancia. Tu negocio mantiene la titularidad absoluta sobre su base de datos.
Preámbulo y Partes Intervinientes
El presente Acuerdo de Encargo de Tratamiento de Datos (en adelante, el "Acuerdo" o "DPA") constituye un anexo legal y vinculante a los Términos y Condiciones de Uso del servicio SaaS OptiGestion, suscrito entre:
1. EL ENCARGADO DEL TRATAMIENTO (PROVEEDOR): Volpex Studios S.C., titular de la plataforma tecnológica SaaS denominada OptiGestion, operada en el dominio optigestion.site y sus subdominios asociados (en adelante, "OptiGestion" o el "Encargado").
2. EL RESPONSABLE DEL TRATAMIENTO (CLIENTE): La persona natural con negocio o persona jurídica que suscribe y utiliza la plataforma OptiGestion para la gestión clínica, optométrica y comercial de su centro visual, consultorio u óptica (en adelante, el "Cliente" o el "Responsable").
Ambas partes reconocen que, para la operación del sistema, el Encargado tratará por cuenta del Responsable datos personales y de salud de pacientes y colaboradores, conforme a las siguientes estipulaciones.
1. Definiciones Legales
- Datos Personales: Toda información numérica, alfabética, fotográfica o acústica sobre una persona natural que la identifica o hace identificable.
- Datos Sensibles de Salud Visual: Información personal relativa a la salud física, agudeza visual, prescripción optométrica, diagnósticos oculares, tratamientos y notas clínicas de evolución.
- Responsable del Tratamiento: El Cliente (establecimiento óptico), quien decide la finalidad y tratamiento de los datos de sus pacientes.
- Encargado del Tratamiento: OptiGestion, quien realiza el tratamiento técnico por cuenta y según instrucciones del Responsable.
- Subencargado: Tercero contratado por OptiGestion para proveer componentes de infraestructura en la nube bajo estrictas salvaguardas contractuales.
2. Objeto y Alcance del Encargo
2.1 El Encargado procesará los datos ingresados al sistema única y exclusivamente para habilitar las funcionalidades contratadas: registro de historias clínicas, refracción optométrica, recetas de lunas y monturas, agendamiento de citas, control de inventario, caja chica y facturación electrónica.
2.2 Categorías de Datos Tratados:
Datos de Pacientes
DNI/CE/RUC, nombres, apellidos, teléfono, correo, agudeza visual lejana/cercana, dioptrías (esfera, cilindro, eje, adición, DP), diagnósticos y recetas.
Datos de Personal
Nombres de optómetras y colaboradores, roles operativos, sucursales asignadas, PINs cifrados, registros de asistencias y comisiones de venta.
3. Compromiso Estricto de No Uso Propio y Confidencialidad
OptiGestion asume de manera taxativa e irrevocable los siguientes compromisos:
- Prohibición de Venta y Cesión: OptiGestion NUNCA venderá, alquilará, cederá, monetizará ni compartirá las bases de datos de pacientes con laboratorios, cadenas ópticas, empresas de telemercadeo, aseguradoras ni terceros.
- Prohibición de Publicidad Directa: OptiGestion no utilizará los datos de los pacientes para enviar publicidad, ofertas de terceros ni comunicaciones no relacionadas con la atención dispensada por la clínica del Cliente.
- Prohibición de Minería de Datos e Inteligencia Artificial Pública: Los historiales y recetas clínicas no serán empleados para el entrenamiento de modelos públicos de inteligencia artificial ni para perfiles comerciales ajenos.
- Deber de Secreto Profesional: Todo el personal de OptiGestion que por labores de soporte o mantenimiento de infraestructura tenga contacto accidental con los sistemas está sujeto a rigurosos acuerdos de confidencialidad de carácter indefinido.
4. Medidas de Seguridad Técnicas y Organizativas (TOMs)
OptiGestion implementa controles de seguridad de nivel bancario y clínico para salvaguardar los datos:
Cifrado de Aplicación AES-256-GCM y Blind Indexing
Los datos sensibles del paciente (DNI, nombres, teléfonos y recetas) se cifran a nivel de aplicación con el estándar AES-256-GCM antes de guardarse en la base de datos. Cada clínica cuenta con una clave única de 32 bytes derivada mediante HKDF utilizando su identificador único (tenantId). Las búsquedas se ejecutan mediante índices ciegos HMAC-SHA256 sin descifrar el registro completo.
Aislamiento Multi-inquilino (PostgreSQL Row Level Security)
La arquitectura SaaS aísla lógicamente los datos de cada clínica mediante políticas RLS en base de datos. Ninguna consulta técnica ni usuario de una clínica puede acceder, visualizar ni modificar registros de otro establecimiento.
Cifrado en Tránsito, Resiliencia y Backups
Tráfico 100% cifrado mediante TLS 1.3 / HTTPS. Copias de seguridad automatizadas diarias almacenadas en infraestructura segura en la nube con capacidad de recuperación ante desastres (Disaster Recovery).
5. Obligaciones del Responsable (La Clínica Óptica)
El Cliente, como titular y Responsable del tratamiento de sus pacientes, se compromete a:
- Obtener el consentimiento previo, informado y expreso de sus pacientes para el registro de sus datos de salud visual en plataformas informáticas, en estricto cumplimiento de la Ley N° 29733 de Protección de Datos Personales de Perú.
- Custodiar diligentemente los PINs y contraseñas de acceso otorgados a su personal y revocar de inmediato los accesos a colaboradores desvinculados.
- Garantizar que la información clínica y recetas ingresadas correspondan a atenciones de salud visual legítimas y veraces.
6. Subencargados del Tratamiento de Infraestructura
El Responsable autoriza a OptiGestion a utilizar los siguientes proveedores de infraestructura tecnológica necesarios para la alta disponibilidad y seguridad del servicio:
| Proveedor | Función en el SaaS | Garantías de Seguridad |
|---|---|---|
| Supabase Inc. | Base de datos PostgreSQL, autenticación y storage | SOC 2 Tipo II, ISO 27001, cifrado AES-256 en reposo |
| Upstash Inc. | Rate Limiting y mitigación de ataques DoS | Tránsito TLS, datos efímeros en memoria volátil |
| Resend Inc. | Mensajería transaccional por correo electrónico | SOC 2, TLS forzoso, retención mínima |
| SmartPSE / SUNAT | Emisión de facturación electrónica y validación fiscal | Estándar fiscal UBL 2.1, homologación legal SUNAT |
7. Gestión y Notificación de Incidentes de Seguridad
7.1 En caso de que OptiGestion confirme una brecha de seguridad que afecte o pueda comprometer la integridad o confidencialidad de los datos personales del Cliente, notificará formalmente al Responsable en un plazo máximo de 72 horas.
7.2 La notificación informará la naturaleza del incidente, las medidas técnicas de contención adoptadas de inmediato y las recomendaciones para mitigar cualquier riesgo.
8. Ejercicio de Derechos ARCO
Los pacientes podrán ejercer sus derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO) directamente ante la óptica (Responsable). OptiGestion provee los módulos en pantalla para que el Responsable actualice, rectifique o bloquee los registros clínicos de manera inmediata. Si un paciente contacta a OptiGestion directamente, la solicitud será derivada con prontitud al Responsable correspondiente.
9. Portabilidad, Destino y Supresión de Datos al Término del Contrato
9.1 Portabilidad: Mientras mantenga su suscripción activa, el Cliente puede exportar sus pacientes, recetas y movimientos comerciales en formatos estándar (Excel, CSV o JSON).
9.2 Período de Gracia y Eliminación Segura: Al concluir la relación contractual, los datos permanecerán congelados durante 30 días calendario para posibilitar su descarga. Vencido dicho período, OptiGestion procederá al borrado seguro de la base de datos principal, conservando únicamente los registros que la normativa tributaria de SUNAT exija mantener durante el plazo de prescripción fiscal.
10. Legislación Aplicable y Jurisdicción
10.1 El presente Acuerdo se rige íntegramente por las leyes de la República del Perú, especialmente la Ley N° 29733 (Ley de Protección de Datos Personales) y su Reglamento aprobado mediante Decreto Supremo N° 003-2013-JUS.
10.2 Cualquier controversia o discrepancia derivada del cumplimiento o interpretación del presente Acuerdo será sometida a la competencia y jurisdicción exclusiva de los jueces y tribunales de la ciudad y Distrito Judicial de Arequipa, Perú.