Encargo de Tratamiento (DPA) — Organizaciones B2B (Centros/Clínicas y Empresas) ↔ Teratuti

Última actualización: 12 de octubre de 2026 Versión: 2026-10-12 (borrador para validación)

Este documento, en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 ("RGPD") y de la LO 3/2018 ("LOPDGDD"), regula el encargo del tratamiento que la Organización (Centro/Clínica o Empresa) que contrata Teratuti (Responsable del Tratamiento) confiere a Teratuti, S.L. (Encargado del Tratamiento). Forma parte indisoluble de los Términos B2B. Su aceptación, junto con los Términos, por el representante legal de la Organización, equivale a la firma del contrato de encargado. Extiende a los perfiles B2B el régimen del DPA del Profesional y se integra con la Política de Pagos, la Política de Privacidad y, para las sesiones online, el Consentimiento de Telemedicina.

1. Identificación de las partes

Encargado del Tratamiento ("Encargado"):

Teratuti, S.L., con CIF B70930284, domicilio social en Calle Antonio Torres, 7 Bis, 3.º C, 45600 Talavera de la Reina (Toledo), inscrita en el Registro Mercantil de Toledo al Tomo 1783, Folio 73, Hoja TO-47191, Inscripción 1.ª, email hola@teratuti.com. Delegado de Protección de Datos: hola@teratuti.com (indicando "Atn. DPO").

Responsable del Tratamiento ("Responsable"):

La Organización dada de alta en Teratuti, identificada por su razón social, CIF/NIF, domicilio y representante legal que figuran en su panel de cuenta. A los efectos de este DPA se distinguen dos tipos de Organización, con régimen diferenciado:

• (A) Centro/Clínica: prestador que coordina a un equipo de profesionales que atienden a Pacientes a través de la plataforma. Es Responsable de la documentación clínica de las Sesiones del Centro y de los datos de sus reservas, para prestarlas y organizarlas (sección 5).
• (B) Empresa: entidad que financia el acceso de sus empleados ("Beneficiarios") a los servicios de la plataforma. Es Responsable únicamente de la lista de personas que invita (correo electrónico, estado de la invitación y asiento), y en ningún caso trata ni accede a datos clínicos ni a datos de uso del servicio (ver sección 9).

2. Garantía del representante legal

2.1. Quien acepta este DPA en nombre de la Organización declara y garantiza que es su representante legal o que ostenta poderes suficientes para obligarla, y que los datos identificativos de la Organización (razón social, CIF/NIF, domicilio) son veraces y están actualizados.

2.2. La aceptación queda registrada de forma auditable: identidad del aceptante, fecha y hora y versión del documento. Esta constancia constituye prueba de la celebración del contrato de encargo conforme al artículo 28.9 RGPD (forma electrónica con constancia documental).

3. Objeto y naturaleza del tratamiento

El Responsable encarga al Encargado el alojamiento, la transmisión y el procesamiento técnico, por medios automatizados, de los datos personales que se generen como consecuencia del uso de la plataforma Teratuti, con la finalidad de posibilitar el servicio descrito en los Términos B2B. El Encargado actúa como intermediario técnico: no presta el servicio sociosanitario, que corresponde en exclusiva al Responsable o a sus profesionales.

4. Duración

El presente encargo se mantiene en vigor durante toda la duración de la relación contractual de la Organización con Teratuti. Termina automáticamente al cesar dicha relación, con las obligaciones de devolución y supresión establecidas en la sección 16.

5. Tipos de datos personales tratados

(A) Centro/Clínica:

Los datos de cuenta, contacto y pago del Paciente los trata Teratuti como responsable, conforme a la Política de Privacidad, y los mensajes entre el Paciente y su profesional, el profesional, conforme al DPA del Profesional: no forman parte de este encargo.

(B) Empresa:

La Empresa no aporta ni recibe datos de salud ni información individualizada de uso del servicio por un Beneficiario concreto. Los datos de uso de cada Beneficiario (reservas, consumo de su cobertura, profesionales y sesiones) los trata Teratuti como responsable propio y, en lo clínico, el profesional: no forman parte de este encargo, y la Empresa no puede dar instrucciones sobre ellos ni recibirlos, tampoco al terminar el encargo, en una auditoría ni para fines fiscales o laborales.

6. Categorías de interesados

(A) Centro/Clínica: Pacientes atendidos en las Sesiones del Centro; y los profesionales miembros del Centro.

(B) Empresa: personas invitadas por la Empresa (Beneficiarios).

7. Finalidades del tratamiento

El Encargado tratará los datos exclusivamente conforme a las instrucciones documentadas del Responsable, para:

(A) Centro/Clínica:

a) Dar de alta y coordinar al equipo de profesionales del Centro (incorporación, modalidades atendidas, agenda). b) Alojar y transmitir la documentación clínica y la videoconsulta de las Sesiones del Centro, y mostrar al Centro sus reservas. c) Gestionar los cobros de las Sesiones del Centro a través de Stripe Connect. d) Conservar la información durante los plazos de la sección 15. e) Proporcionar al Centro las herramientas técnicas para cumplir su obligación de elaborar y custodiar la historia clínica (art. 14 y 17 de la Ley 41/2002). f) Atender, dando traslado al Responsable, las solicitudes de derechos de los interesados.

(B) Empresa:

a) Gestionar las invitaciones a Beneficiarios (correo electrónico) y su vinculación al programa. b) Gestionar el Saldo de la Empresa y, en su caso, el copago, en cifras globales. c) Proporcionar a la Empresa exclusivamente métricas agregadas y anonimizadas de uso (ver sección 9).

8. La sesión online del Centro

8.1. Cuando una sesión online se atribuye al Centro —porque el Centro ha activado dicha modalidad y Teratuti la ha verificado—, el Centro es el prestador sanitario y facturador responsable de esa sesión, en idénticas condiciones que una sesión presencial en su sede. El Encargado aporta únicamente la infraestructura técnica de videoconsulta (proveedor del Anexo I), sin intervenir en el acto sanitario.

8.2. El profesional miembro que presta la sesión online por cuenta del Centro lo hace en el marco de su relación con el Centro. Su consentimiento informado a esta atribución se recoge al aceptar su incorporación o las modalidades reclamadas por el Centro (ver sección 10).

8.3. La sesión online se rige por el consentimiento informado de telemedicina que el Centro y sus profesionales deben suministrar al Paciente conforme a la plantilla de Consentimiento de Telemedicina (arts. 8 y 10 de la Ley 41/2002), y su cobro por la Política de Pagos.

9. Muro de confidencialidad de la Empresa

9.1. La Empresa en ningún caso accede a datos clínicos ni a información individualizada sobre qué Beneficiario usa el servicio, con quién, cuándo o por qué. Ve la lista de personas que ha invitado (correo, estado y asiento), su Saldo, su gasto y el total de sesiones cubiertas en cifras globales, y métricas agregadas y anonimizadas (altas activas, nº de sesiones, participación), calculadas de forma que no permitan reidentificar a un Beneficiario concreto.

9.2. El Encargado aplica a las métricas el umbral mínimo de agregación establecido en los Términos B2B (§6.3), por debajo del cual no se entregan métricas que pudieran permitir la reidentificación en grupos pequeños. El Saldo, el gasto y el total de sesiones cubiertas se muestran siempre en cifras globales, y la Empresa se obliga a no deducir de ellos el uso de ningún Beneficiario (§6.5 de los Términos B2B).

9.3. Esta separación es condición esencial del servicio. Su incumplimiento por el Encargado constituye incumplimiento grave del presente DPA.

10. Compartición de datos clínicos dentro del Centro

10.1. Cuando varios profesionales de un mismo Centro intervienen en la asistencia a un mismo Paciente, la compartición de datos clínicos entre ellos se ampara en la continuidad asistencial (art. 16 de la Ley 41/2002) y en el consentimiento del Paciente, previa información, que corresponde recabar al Centro y a sus profesionales.

10.2. El profesional que se incorpora a un Centro consiente, en el momento de aceptar la invitación, las modalidades que el Centro atiende y el marco de compartición asistencial aplicable.

11. Obligaciones del Encargado

11.1. Tratamiento conforme a instrucciones. Tratar los datos únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales. Si el Encargado considera que una instrucción infringe el RGPD u otra normativa de protección de datos, lo comunicará de inmediato al Responsable.

11.2. Confidencialidad. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria. El personal del Encargado y de sus subencargados está sometido al secreto profesional.

11.3. Medidas de seguridad (art. 32 RGPD). Implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo: cifrado en reposo y en tránsito (TLS 1.3 mínimo); control de accesos basado en roles y mínimo privilegio; autenticación reforzada del personal; registros de auditoría sobre accesos a datos clínicos; separación de entornos; copias de seguridad cifradas; procedimiento de detección, gestión y comunicación de brechas; formación periódica del personal; y gestión de vulnerabilidades. El detalle figura en el Anexo II.

11.4. Subencargados. El Encargado no contratará subencargados sin autorización general previa del Responsable. Mediante la aceptación de este DPA, el Responsable autoriza con carácter general el recurso a los subencargados del Anexo I, que podrá actualizarse.

11.5. Cambios en subencargados. El Encargado informará al Responsable con un preaviso de al menos quince (15) días naturales antes de incorporar o sustituir subencargados. Durante ese plazo el Responsable puede oponerse motivadamente por razones de protección de datos; si la oposición es fundada y no cabe mantener el servicio sin el nuevo subencargado, cualquiera de las partes podrá rescindir la relación.

11.6. Asistencia al Responsable. Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas, en la atención de los derechos de los interesados (arts. 15-22 RGPD) —dando traslado de cualquier solicitud recibida directamente— y en el cumplimiento de los artículos 32 a 36 RGPD (seguridad, brechas, evaluaciones de impacto y consulta previa).

11.7. Brechas de seguridad. Notificar al Responsable, sin dilación indebida y a más tardar en veinticuatro (24) horas desde su conocimiento, cualquier brecha que afecte a sus datos, facilitando la información necesaria para que el Responsable cumpla los artículos 33 y 34 RGPD.

11.8. Información y auditoría. Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento del artículo 28 RGPD y permitir y contribuir a auditorías. Como sustitutivos válidos, el Encargado puede aportar certificaciones independientes vigentes (ISO 27001, SOC 2) y los informes de cumplimiento de sus subencargados.

11.9. No transferir datos a terceros salvo en los supuestos autorizados (subencargados, requerimientos de autoridades, instrucciones del Responsable).

11.10. Registro de actividades. Llevar el registro de actividades de tratamiento por encargo conforme al artículo 30.2 RGPD.

12. Obligaciones del Responsable

12.A. Centro/Clínica:

a) Garantizar que dispone, respecto de cada Paciente atendido por su equipo, del consentimiento informado u otra base legitimadora válida, incluida la habilitación del art. 9.2.h) RGPD por la condición sanitaria de sus profesionales. b) Cumplir los deberes de información del artículo 13 RGPD frente a sus Pacientes. c) Mantener la responsabilidad sobre la elaboración, contenido, actualización y custodia de la historia clínica (Ley 41/2002), sin perjuicio del alojamiento técnico del Encargado. d) Velar por que sus profesionales mantienen titulación habilitante y seguro de responsabilidad civil profesional vigentes (Ley 44/2003, LOPS).

12.B. Empresa:

a) Garantizar que dispone de base de legitimación para aportar a Teratuti el correo de las personas que invita y que les ha informado conforme al artículo 13 RGPD. b) Garantizar que todos los Beneficiarios son mayores de edad; cualquier excepción requerirá el consentimiento del titular de la patria potestad o tutela conforme al art. 9.4 de la Ley 41/2002, fuera del flujo estándar. c) No intentar reidentificar a Beneficiarios a partir de las métricas agregadas.

12.C. Comunes: dar las instrucciones a través de la plataforma y, en su caso, por escrito al DPO.

13. Transferencias internacionales

13.1. Algunos subencargados (Stripe, Google, 100ms, Apple) implican, por su estructura corporativa, transferencias internacionales fuera del EEE.

13.2. El Encargado se ampara en: (a) decisiones de adecuación, en particular el EU-US Data Privacy Framework respecto de importadores estadounidenses certificados; (b) Cláusulas Contractuales Tipo (Decisión (UE) 2021/914); y (c) medidas suplementarias post-Schrems II descritas en la sección 8 de la Política de Privacidad.

13.3. El Responsable autoriza estas transferencias mediante la aceptación de este DPA.

14. Datos de categoría especial (salud)

14.1. Aplicable únicamente al Centro/Clínica. Los datos de salud hospedados son los estrictamente necesarios para que los profesionales del Centro presten su servicio.

14.2. Acceso del personal del Encargado: limitado a soporte técnico solicitado, investigación de disputas, requerimientos legales y auditorías. Cada acceso se registra.

14.3. Cifrado adicional de notas y materiales clínicos cuando sea técnicamente factible.

14.4. Sin uso para finalidades propias. El Encargado no utiliza los datos clínicos para entrenar modelos de IA, mejorar productos ni cualquier otra finalidad propia, salvo consentimiento explícito y separado del Paciente.

14.5. La Empresa no trata datos de salud (sección 9); esta sección no le resulta aplicable.

15. Conservación

15.1. Centro/Clínica: mientras dure la relación asistencial, los datos se conservan activos; tras su cese, los datos clínicos se conservan al menos cinco (5) años desde el alta del proceso asistencial (art. 17.1 de la Ley 41/2002), o el plazo superior aplicable según la normativa autonómica, y posteriormente se bloquean (art. 32 LOPDGDD) y se eliminan.

15.2. Empresa: la lista de invitaciones se conserva mientras dure el programa y, tras su fin, durante los plazos fiscales y de prescripción aplicables, bloqueándose entretanto.

16. Devolución y supresión al término del encargo

16.1. Al cesar la relación de la Organización con Teratuti, el Encargado pondrá a disposición del Responsable los datos que trata por su cuenta conforme a la sección 5 —en la Empresa, solo la lista de invitaciones— en un formato estructurado, de uso común y lectura mecánica, durante un plazo razonable (mínimo 30 días).

16.2. Transcurrido ese plazo, el Encargado procederá a la supresión o bloqueo de los datos, según la instrucción documentada del Responsable y las obligaciones legales aplicables.

16.3. Datos retenidos por obligación legal (p. ej. facturación 6 años, prevención de blanqueo 10 años, historia clínica 5 años desde alta del proceso): el Encargado los aísla y protege con las medidas adecuadas.

17. Responsabilidad

17.1. Cada parte responde frente a la otra de los daños que cause por incumplimiento de sus obligaciones bajo el RGPD y este DPA (art. 82 RGPD).

17.2. El Encargado mantiene indemne al Responsable frente a sanciones impuestas por la Autoridad de Control por causa exclusiva imputable al Encargado, y viceversa.

17.3. Tope de responsabilidad. Salvo dolo o culpa grave, la responsabilidad del Encargado bajo este DPA se limita conforme a la cláusula de limitación de responsabilidad de los Términos B2B, sin perjuicio de las normas imperativas que prohíban dicha limitación.

18. Modificación

Las modificaciones se sujetan al régimen de los Términos B2B, sin perjuicio de las que vengan impuestas por la legislación europea o nacional de protección de datos, que entrarán en vigor en la fecha que ésta determine.

19. Ley aplicable y jurisdicción

Este DPA se rige por la legislación española y europea de protección de datos. Las controversias se someten al fuero previsto en los Términos B2B.

Anexo I — Subencargados autorizados

Anexo II — Medidas técnicas y organizativas de seguridad (art. 32 RGPD)

Son de aplicación las mismas medidas técnicas y organizativas recogidas en el Anexo II del DPA del Profesional (cifrado TLS 1.3 / AES-256 y cifrado adicional de campo en datos clínicos; control de accesos con MFA y mínimo privilegio; bitácora de accesos a datos clínicos conservada ≥ 12 meses; segregación de entornos; respaldo y continuidad con RPO/RTO ≤ 24h; gestión de vulnerabilidades; detección y respuesta a incidentes con notificación a la AEPD ≤ 72h cuando proceda; protección de la videoconsulta con salas efímeras y JWT de vida corta, sin grabación por defecto; pseudonimización y minimización; gobernanza, DPO y formación; cláusulas art. 28 con subencargados; y eliminación segura), revisadas al menos anualmente.

Documento de referencia interna: 12-DPA-B2B.md — Versión 2026-10-12 (borrador para validación con auditoría/asesoría antes de su cableado).