Contrato de encargo del tratamiento de Agilix Vet

Vigente desde el 9 de octubre de 2026.

1. Objeto y finalidad del tratamiento

   • La Clínica encarga al Proveedor el tratamiento de los datos personales que los Usuarios registran en el Panel, en la medida y con la finalidad de prestar el servicio Agilix Vet descrito en los Términos de servicio.
   • El Proveedor no trata estos datos para fines propios, no los vende ni los utiliza para publicidad.

2. Duración

   Este contrato rige durante la vigencia del contrato del servicio Agilix Vet y, tras su fin, hasta la devolución y eliminación de los datos conforme al punto 13.

3. Naturaleza del tratamiento

   El Proveedor trata los datos de forma automatizada en el marco del funcionamiento del Panel: los recoge de los Usuarios, los almacena, organiza, busca y muestra, los pone a disposición del equipo de la Clínica, genera a partir de ellos sugerencias con un modelo de IA (Términos de servicio, punto 8), hace copias de seguridad y los elimina.

4. Tipos de datos y categorías de interesados

   • Categorías de interesados: los clientes de la Clínica (propietarios de animales), sus personas de contacto y otras personas cuyos datos los Usuarios registren en el Panel, por ejemplo en notas o archivos.
   • Tipos de datos: nombres y apellidos, números de teléfono, direcciones de correo electrónico, direcciones, país, información sobre pagos pendientes, documentos firmados y otros archivos, datos de los animales y documentación de sus visitas y prevención, notas del equipo de la Clínica y sugerencias creadas por el modelo de IA. La lista completa figura en la Política de privacidad de Agilix Vet.
   • El Panel no está destinado a categorías especiales de datos (art. 9 RGPD) ni a datos relativos a condenas penales (art. 10 RGPD). Si la Clínica los introduce, el Proveedor los protege igual que los demás datos.

5. Instrucciones de la Clínica

   • El Proveedor trata los datos únicamente siguiendo instrucciones documentadas de la Clínica. Son instrucciones los Términos de servicio, este contrato y las acciones de los Usuarios en el Panel. Un Propietario da cualquier otra instrucción por correo electrónico.
   • Si la ley obliga al Proveedor a otro tratamiento, informará de ello a la Clínica antes de iniciarlo, salvo que la ley lo prohíba.
   • El Proveedor informa sin demora a la Clínica si, en su opinión, una instrucción infringe la normativa de protección de datos.

6. Confidencialidad

   El Proveedor solo da acceso a los datos a las personas que lo necesitan para prestar el servicio, mantener y reparar el Panel o atender las solicitudes de la Clínica. Estas personas están obligadas a guardar secreto, también después de terminar su colaboración.

7. Seguridad del tratamiento

   El Proveedor aplica las medidas del art. 32 RGPD, en particular:

   • las conexiones con el Panel están cifradas (HTTPS);
   • los datos de la Clínica solo los ven en el Panel los miembros de su equipo, y algunas acciones están reservadas a los Propietarios;
   • el acceso se hace con una Cuenta Agilix, y una invitación al equipo solo puede aceptarse desde una dirección de correo electrónico confirmada;
   • el Panel registra qué miembro del equipo guardó una visita;
   • los archivos no son de acceso público - el Panel los abre mediante enlaces válidos hasta 3 días;
   • el Panel y la base de datos funcionan en un servidor de la Unión Europea;
   • la base de datos tiene copias de seguridad: copias para restaurar cualquier momento durante 40 días, copias diarias en la Unión Europea durante 60 días y una copia diaria en los Estados Unidos durante 2 meses;
   • los archivos eliminados en el Panel se eliminan del almacenamiento de archivos;
   • los errores de la aplicación y los registros del servidor se supervisan (Sentry, Google Cloud Logging);
   • las notas privadas no se envían al modelo de IA.

   El Proveedor evalúa periódicamente la eficacia de estas medidas y las adapta al riesgo.

8. Subencargados del tratamiento

   La Clínica otorga al Proveedor una autorización general para recurrir a subencargados. Actualmente son:

   • Hetzner Online GmbH (Alemania) - un servidor en la Unión Europea en el que funcionan el Panel, el buscador y la base de datos;
   • Google (Firebase, Google Cloud) - almacenamiento de archivos en una región de los Estados Unidos, copias de seguridad de la base de datos en Fráncfort y una copia diaria en los Estados Unidos, registros del servidor (Google Cloud Logging), el modelo Gemini (Gemini API) y estadísticas (Google Analytics), que reciben las direcciones de las páginas del Panel visitadas, con identificadores internos de clientes y animales;
   • Mailgun Technologies, Inc. - envío de los mensajes del formulario de contacto del Panel (servidores en la Unión Europea);
   • Functional Software, Inc. (Sentry) - errores de la aplicación y mediciones de su rendimiento (Estados Unidos);
   • Cloudflare, Inc. - todo el tráfico hacia el Panel pasa por su red.

   • El Proveedor informa a los Propietarios por correo electrónico con al menos 14 días de antelación de la incorporación o sustitución prevista de un subencargado. En ese plazo la Clínica puede oponerse y, si las Partes no llegan a un acuerdo, resolver el contrato sin preaviso.
   • El Proveedor impone a los subencargados obligaciones de protección de datos no inferiores a las de este contrato y responde ante la Clínica de su cumplimiento.

9. Transferencias fuera del EEE

   Parte de los datos sale del Espacio Económico Europeo, en particular a los Estados Unidos (punto 8). Las transferencias se basan en una decisión de adecuación de la Comisión Europea (Data Privacy Framework) o en Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. El Proveedor facilita a la Clínica una copia de las garantías si lo solicita.

10. Derechos de los interesados

    • La Clínica atiende por sí misma los derechos de sus clientes con las funciones del Panel: consulta de los datos, rectificación, eliminación de archivos y archivo de clientes.
    • Si el Panel no tiene la función necesaria, un Propietario lo pide al Proveedor por correo electrónico y el Proveedor ejecuta la solicitud en un plazo de 14 días.
    • El Proveedor remite a la Clínica las solicitudes que las personas le dirijan directamente y no las responde por sí mismo.

11. Asistencia a la Clínica

    Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, el Proveedor ayuda a la Clínica a cumplir las obligaciones de los arts. 32-36 RGPD: seguridad, notificación de brechas, evaluación de impacto relativa a la protección de datos y consulta previa a la autoridad de control.

12. Brechas de seguridad de los datos personales

    • El Proveedor notifica a la Clínica cualquier brecha de seguridad que afecte a los datos de la Clínica en un plazo de 48 horas desde que tenga conocimiento de ella, por correo electrónico a los Propietarios.
    • La notificación incluye, en la medida en que esté disponible, la información del art. 33.3 RGPD: naturaleza de la brecha, categorías y número aproximado de interesados y registros, consecuencias probables, medidas adoptadas o propuestas y una persona de contacto. La información no disponible de inmediato se facilita después sin dilación indebida.
    • La notificación a la autoridad de control y la comunicación a los interesados corresponden a la Clínica.

13. Devolución y eliminación de los datos

    Al terminar la prestación del servicio, el Proveedor devuelve y elimina los datos de la forma y en los plazos descritos en el punto 14 de los Términos de servicio, salvo que la ley exija conservarlos.

14. Información y auditorías

    • El Proveedor pone a disposición de la Clínica, en un plazo de 14 días desde la solicitud, la información necesaria para demostrar el cumplimiento del art. 28 RGPD.
    • La Clínica o un auditor autorizado por ella puede realizar una auditoría avisando al Proveedor con al menos 14 días de antelación, no más de una vez cada 12 meses, salvo que la auditoría siga a una brecha de seguridad o a un requerimiento de la autoridad de control. La auditoría se realiza a costa de la Clínica, sin perturbar el funcionamiento del Panel y con confidencialidad.
    • En cuanto a los subencargados, el Proveedor puede facilitar sus informes y certificaciones en lugar de una auditoría presencial.

15. Responsabilidad

    Frente a los interesados, las Partes responden conforme al art. 82 RGPD. En las relaciones entre las Partes se aplican las disposiciones sobre responsabilidad del punto 10 de los Términos de servicio, en la medida en que la ley lo permita.

16. Disposiciones finales

    • En materia de datos personales, este contrato prevalece sobre los Términos de servicio.
    • Este contrato se modifica conforme al procedimiento del punto 15 de los Términos de servicio.
    • El contrato se rige por la ley polaca y las controversias se resuelven ante el tribunal indicado en los Términos de servicio.
    • La versión polaca del contrato es la vinculante. Las demás versiones lingüísticas son traducciones.