Términos de procesamiento de datos

Fecha de entrada en vigor: 30 de junio de 2025

Estas son las condiciones de procesamiento de datos que forman parte de su acuerdo con nosotros y se aplican a todo el procesamiento de datos personales que realicemos durante la prestación de los Servicios en virtud del Acuerdo. Estas condiciones de procesamiento de datos nos permiten cumplir con la ley de protección de datos aplicable al procesamiento por nuestra parte de datos personales como su procesador al prestar los Servicios, y usted cumplir con la ley de protección de datos aplicable a la contratación de los Servicios. La forma en que utiliza el Servicio Provet Cloud y sus datos puede estar sujeta a leyes, incluidas las leyes de protección de datos, que no se aplican a nosotros como proveedores de los Servicios y, por lo tanto, no se rigen por estas Condiciones de procesamiento de datos. Es su responsabilidad cumplir con esas leyes adicionales.

1. Interpretación

‍Las palabras y frases que se definen en el glosario de los Términos de servicio de Provet Cloud tienen el mismo significado en estos Términos de procesamiento de datos, y se aplican las siguientes definiciones:

Controlador significa, en relación con el procesamiento de datos personales relevantes, usted o cualquiera de sus filiales en cuyo nombre se lleva a cabo el procesamiento.

Por Reglamento de protección de datos se entiende el reglamento relativo a la protección de datos y la privacidad de la información relacionado, en nuestro caso, con la prestación de los Servicios y, en el caso del Controlador, con la contratación de los Servicios, incluido el uso por parte del Controlador de Provet Cloud para procesar los datos personales relevantes, pero excluyendo otro procesamiento de sus datos en su empresa, incluido el GDPR (según corresponda).

Por evento de rescisión de la protección de datos se entiende cualquiera de las siguientes situaciones, a saber: (i) el controlador se opone o se considera que se opone al nombramiento de un subprocesador en virtud del párrafo 5.3; (ii) es necesaria una instrucción del controlador para que el controlador pueda cumplir con los requisitos legales obligatorios y un subprocesador no pueda adaptarse a los cambios solicitados, o (iii) no podemos cumplir con estas condiciones de procesamiento de datos en relación con el procesamiento de datos personales relevantes debido a los términos que están en vigor entre nosotros y nuestros subprocesadores (que no sean nuestros afiliados) o el cese de los servicios proporcionados por cualquier subprocesador (excepto debido a una acción u omisión nuestra o de nuestras Filiales).

GDPR significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al procesamiento de datos personales y a la libre circulación de dichos datos.

Por servicios de infraestructura se entienden los servicios que respaldan la plataforma Provet mediante software como servicio, plataforma como servicio o infraestructura como servicio (tal como definen esas expresiones el Instituto Nacional de Estándares y Tecnología de los EE. UU. o cualquier organismo sustituto). Por violación de datos personales se entiende una violación de la seguridad que conduce a la destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado a los datos personales transmitidos, almacenados o procesados de otro modo. Los datos personales relevantes se refieren a sus datos, es decir, datos personales procesados por nosotros en el transcurso de los Servicios, que se describen más específicamente en el Apéndice 1 (Descripción del procesamiento).

Por personal relevante se entiende los consultores que tienen acceso a datos personales relevantes. Por subprocesador se entiende cualquier persona física o jurídica que se proponga ser autorizada o autorizada (según corresponda) para procesar datos personales relevantes de vez en cuando, incluido un subcontratista nuestro y cualquier otro tercero que sea parte de un contrato en virtud del cual se autorice dicho procesamiento.

En estos Términos de procesamiento de datos, las referencias a palabras y frases que se definen en el GDPR, incluidos los datos personales, el procesamiento, el controlador y el procesador, tienen el significado que se les asigna en el GDPR.

2. Nuestras funciones respectivas en virtud del Reglamento de protección de datos

• Cuando procesamos datos personales como parte de los Servicios para proporcionarle a usted o a sus Filiales los medios para procesar datos personales, incluso alojando datos personales en Provet Cloud, lo hacemos como su procesador o el de su Afiliado, y cualquier otro procesamiento que realicemos se realiza como controlador de nuestro propio negocio. Cuando usted o sus Filiales procesen datos personales mientras utilizan el Servicio Provet Cloud, tanto usted como ellos lo hacen en calidad de responsables del tratamiento.
• Ni usted ni nosotros pretendemos que nuestros Consultores accedan a ningún dato personal procesado por un Controlador, excepto cuando sea estrictamente necesario para la prestación del mantenimiento y el soporte de Provet Cloud, y dicho acceso será puramente incidental y ad hoc y, por lo tanto, muy limitado en la práctica; en esas circunstancias, no somos ni un procesador ni un controlador por derecho propio en relación con cualquier procesamiento de este tipo que pueda tener lugar.

3. Servicios

3.1 Nuestra cita

‍3.1.1 Sujeto al Acuerdo, usted designa a Nordhealth para que suministre los Servicios de forma no exclusiva, Nordhealth acepta la cita y usted debe pagar los Cargos.

3.1.2 Sujeto a su cumplimiento del Acuerdo, por la presente le concedemos una licencia no exclusiva e intransferible para permitir a los usuarios autorizados utilizar el servicio Provet Cloud. Usted es responsable de adquirir, a su costa, los derechos necesarios para utilizar cualquier otro software, obra o material necesario para acceder y utilizar el Servicio Provet Cloud. Si no lo hace y no puede utilizar el servicio Provet Cloud, aún debe pagarnos los cargos.

3.1.3 Usted nos otorga una licencia no exclusiva para (i) usar, copiar, adaptar, organizar, alterar y divulgar sus datos en la medida en que sea razonablemente necesario para prestar los Servicios, y (ii) recopilar y utilizar sus datos y datos relacionados con el uso del Servicio Provet Cloud por parte de los usuarios autorizados con el fin de anonimizar los datos y agregar los datos con datos anónimos iguales o similares de otros clientes, analizando uso del servicio Provet Cloud, para evaluar comparativamente y preparar documentos e informes relacionados con el servicio Provet Cloud, y divulgar y explotar de otro modo esos documentos e informes, pero no para revelar su identidad ni la identidad de ningún usuario autorizado. Nuestros empleados, agentes, contratistas y proveedores de servicios de Nordhealth pueden realizar cualquier acto incluido en el ámbito de esta licencia en nuestro nombre.

3. Alcance del procesamiento de los datos personales relevantes

• El procesamiento que llevaremos a cabo en nombre del Controlador se describe en el Apéndice 1 (Descripción del procesamiento), que realizaremos de acuerdo con las instrucciones documentadas del Controlador, excepto (i) cuando y en la medida en que una instrucción sea contraria al procesamiento que nosotros (o cualquier persona que lo haga bajo nuestra autoridad) debamos realizar en virtud del Reglamento, con una antelación razonable al Controlador, a menos y en la medida en que el Reglamento impida o restrinja la notificación en motivos importantes de interés público, o (ii) ) la instrucción da lugar a un evento de rescisión de la protección de datos, en cuyo caso se nos exime de cumplir con la instrucción hasta que ambos hayamos resuelto el problema que dio lugar al evento de rescisión de la protección de datos, el acuerdo finalice o nuestro derecho a rescindir el acuerdo en virtud del párrafo 11 (eventos de finalización de la protección de datos) caduque.
• Se considera que todo el procesamiento de datos personales relevantes de conformidad con el Acuerdo se realiza según las instrucciones documentadas del Controlador.
• Informaremos al Controlador si, en nuestra opinión, alguna de las instrucciones del Controlador infringiría el Reglamento de Protección de Datos en relación con la información en nuestro poder.
• Usted, en su propio nombre y como agente de otros Controladores, nos autoriza a nosotros, al personal pertinente y a los subprocesadores designados al inicio de los Datos y, posteriormente, de conformidad con el párrafo 5 (Subprocesadores), a procesar los Datos personales pertinentes como parte de los Servicios de conformidad con el Acuerdo.

4. Eliminación o devolución de datos

‍Tras la expiración del acuerdo, devolveremos o eliminaremos, de acuerdo con las instrucciones del controlador, todos los datos personales relevantes, a menos que las regulaciones exijan la retención de los datos personales relevantes, excepto que este párrafo no afecta a sus responsabilidades en virtud del acuerdo de recuperar y eliminar todos sus datos de Provet Cloud.‍

5. Subprocesadores

• Encontrará una lista de los subprocesadores y una descripción de los servicios de infraestructura en los que confiamos en https://www.provet.cloud/sub-processors/.
• No se podrá conferir ninguna autoridad para procesar datos personales relevantes a (i) un subprocesador que sea o vaya a ser un subcontratista nuestro sin (si no lo hemos hecho) que primero celebremos un contrato con el subprocesador en virtud del cual el subprocesador se comprometa a cumplir con obligaciones que sean sustancialmente las mismas que las de estos Términos de procesamiento de datos en la medida en que sean importantes en relación con el procesamiento de los datos personales relevantes, o (ii) cualquier otro subprocesador, excepto directa o indirectamente en virtud de un subcontrato.
• Cuando autoricemos a un nuevo subprocesador a procesar datos personales relevantes, ya sea como subcontratista o de otro modo, actualizaremos la lista en https://www.provet.cloud/sub-processors/, y puede notificarle a través de Provet Cloud o el sitio web. Tendrá la oportunidad de oponerse a dichos cambios en un plazo de veinte (20) días hábiles a partir de la notificación. Si no se opone dentro de este período, asumiremos que no tiene ninguna objeción a la cita.
• Cuando y en la medida en que el servicio Provet Cloud, incluido el procesamiento de datos personales relevantes, dependa de los servicios de infraestructura (i) las políticas y procedimientos de los subprocesadores que prestan los servicios de infraestructura y las condiciones que entren en vigor de vez en cuando entre nosotros o nuestras filiales y dichos subprocesadores, en relación con el procesamiento de los datos personales relevantes como parte de los servicios de infraestructura (subprocesamiento relevante), que están disponibles para su inspección previa solicitud, se incluirán en el Acuerdo (con los cambios que son considerándose necesario) (Condiciones adicionales de procesamiento de datos), y se aplicará a cualquier subprocesamiento relevante de datos personales relevantes con exclusión de cualquier disposición en contrario del Acuerdo, y (ii) la manera y la medida en que el Controlador ejerza o tenga derecho a ejercer los derechos en virtud del Acuerdo con respecto a los datos personales relevantes que sean objeto del subprocesamiento relevante estarán sujetos a las condiciones de procesamiento de datos adicionales.

6. Nuestra obligación de brindar asistencia

• Sin demora indebida y, en cualquier caso, a más tardar de lo razonablemente necesario para que el Controlador pueda cumplir con sus obligaciones en virtud del Reglamento de Protección de Datos, proporcionaremos la información que el Controlador pueda necesitar razonablemente en relación con los datos personales relevantes o su procesamiento. Cuando esto requiera un trabajo que no esté cubierto por el servicio Provet Cloud, lo haremos a través de servicios profesionales en virtud de una declaración de trabajo acordada.
• Remitiremos inmediatamente al Controlador todas las solicitudes para inspeccionar, rectificar, borrar u objetar el procesamiento de datos personales relevantes u otras solicitudes recibidas de los interesados. Si el Controlador lo solicita, como parte del Servicio en la nube de Provet, ayudaremos al Controlador a cumplir con esas solicitudes y, cuando esto requiera trabajos que no estén cubiertos por los Servicios en la nube de Provet, lo haremos mediante servicios profesionales en virtud de una declaración de trabajo acordada.
• Teniendo en cuenta la naturaleza del procesamiento de los datos personales pertinentes y los datos disponibles, ayudaremos al controlador como parte de los servicios en la nube de Provet a garantizar que el controlador cumpla con la normativa de protección de datos, que puede incluir requisitos relacionados con la seguridad de los datos, la notificación de las violaciones de datos y las evaluaciones de impacto de la protección de datos, siempre que, y cuando el trabajo requerido no esté cubierto por el servicio de nube de Provet, lo haremos mediante servicios profesionales en virtud de una declaración acordada de Trabajo.
• Remitiremos todas las consultas realizadas por las autoridades de protección de datos directamente al Controlador correspondiente y esperaremos más instrucciones del Controlador. A menos que se acuerde lo contrario, no estamos autorizados a representar al Controlador ni a actuar en su nombre en relación con las autoridades que supervisan al Controlador.

7. Procesamiento que tiene lugar fuera de la UE/EEE

• Salvo instrucciones documentadas del Controlador o en el curso normal de la prestación de los Servicios de conformidad con el Acuerdo (lo que solo puede tener lugar de conformidad con la normativa de protección de datos), no transferiremos ningún dato personal relevante del lugar en el que estén almacenados los datos personales pertinentes a otro país o territorio ni a ninguna organización internacional sin el consentimiento previo por escrito del controlador, a menos que estemos obligados a hacerlo de conformidad con las normas de protección de datos. Regulaciones (cualquier transferencia de este tipo es una transferencia restringida).
• Se puede realizar una transferencia restringida a cualquier miembro del Espacio Económico Europeo o al Reino Unido u otros países por el momento, sujeta a una decisión de adecuación de la Comisión de la UE de conformidad con el artículo 45 del Reglamento General de Protección de Datos 2016/679 o de conformidad con cualquier otro mecanismo aprobado en virtud del Reglamento de Protección de Datos, incluidas las cláusulas contractuales estándar.

8. Auditoría

• El Controlador o un auditor autorizado por el Controlador, que no sea un competidor nuestro, tiene derecho a auditar el procesamiento de los datos personales relevantes. Debemos acordar la hora de la auditoría y otros detalles con antelación y, a más tardar, 14 días antes de la auditoría. La auditoría se llevará a cabo de forma que no impida nuestras obligaciones ni las de sus subcontratistas con respecto a terceros. Los representantes del Contralor y del auditor deben firmar los compromisos convencionales de confidencialidad.
• El Controlador es responsable de nuestros gastos ocasionados por la auditoría. Si se detectan defectos notables durante la auditoría, seremos responsables de los costos incurridos por la auditoría.

9. Seguridad de datos

• Implementaremos las medidas técnicas y organizativas adecuadas para proteger los datos personales relevantes de acuerdo con las buenas prácticas del sector, teniendo en cuenta los riesgos del procesamiento, especialmente la destrucción, pérdida, alteración, divulgación no autorizada o acceso no intencional o ilegal a los datos personales relevantes, que se describen más específicamente en el apéndice 2 (Descripción de las medidas organizativas y técnicas). Al organizar las medidas de seguridad, las opciones técnicas y sus costos se evaluarán en relación con los riesgos especiales del procesamiento en cuestión y la sensibilidad de los datos personales relevantes. Probaremos, evaluaremos y evaluaremos periódicamente la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del procesamiento.
• Es su responsabilidad asegurarse de que las medidas que tomamos son adecuadas para el procesamiento de sus datos en el contexto de su negocio.
• Nos aseguraremos de que el personal pertinente se haya comprometido a cumplir las obligaciones de confidencialidad.

Descripción del procesamiento

10. Violaciones de datos personales

• Notificaremos al Controlador de las violaciones de datos personales sin demora indebida después de recibir la información sobre la violación.
• Si el Controlador lo solicita, proporcionaremos sin demora indebida toda la información relevante sobre una violación de datos personales. En la medida en que dispongamos de la información en cuestión, informaremos al Controlador de (i) la violación de datos personales que se haya producido, (ii) los tipos de interesados, las categorías de datos personales y las cifras estimadas, (iii) una descripción de las posibles consecuencias de la violación de datos personales y (iv) una descripción de las medidas reparadoras que hemos implementado o implementaremos para evitar violaciones de datos personales en el futuro y, si es necesario, las medidas para minimizar los efectos dañinos de la violación de datos personales.
• Documentaremos e informaremos al Controlador de los resultados de la investigación sobre la violación de datos personales y las medidas implementadas.
• El controlador es responsable de las notificaciones necesarias a las autoridades de protección de datos.

11. Eventos de finalización de la protección de datos

• Cuando se produzca un evento de rescisión de la protección de datos, cualquiera de las partes tiene derecho a rescindir el Acuerdo notificando a la otra con al menos sesenta (60) días de antelación, en cuyo caso le reembolsaremos los cargos pagados por adelantado en relación con el plazo no vencido del Acuerdo.
• El derecho de cualquiera de nosotros a rescindir el Acuerdo en virtud del párrafo anterior caduca si el derecho no se ejerce dentro de los veinte (20) días hábiles posteriores a que usted o nosotros (según corresponda) tengamos conocimiento de ello por primera vez.

12. Derechos del controlador

‍Tan pronto como sea razonablemente posible tras su solicitud para hacerlo, celebraremos un acuerdo de suscripción con un controlador (que no sea el suyo) para dar efecto a las disposiciones de estas condiciones de procesamiento de datos y permitir que el controlador cumpla con las normas de protección de datos.

Provet Cloud es un sistema de gestión de consultorios diseñado para su uso en consultorios y empresas veterinarias. La siguiente tabla describe el objeto y la duración del procesamiento realizado en virtud del Acuerdo, la naturaleza y el propósito de ese procesamiento, el tipo de datos personales y las categorías de interesados.

Descripción de las medidas organizativas y técnicas