ACUERDO DE ENCARGO DEL TRATAMIENTO

Última actualización: 29 de octubre de 2026

Esta es una traducción facilitada a título informativo. La versión en inglés es la versión vinculante y prevalece en caso de discrepancia.

1. SOBRE ESTE ACUERDO

1.1 Las partes. Este Acuerdo de Encargo del Tratamiento (el «Acuerdo de Encargo» («DPA»)) se celebra entre Brahim Ouasti EI, que opera bajo el nombre comercial Inumbra Labs, empresario individual (entrepreneur individuel) inscrito en Francia en el registro nacional de empresas (Registre national des entreprises) con el número SIREN 538 543 034, número de IVA intracomunitario FR24538543034, y que gestiona Vetty («Vetty», «nosotros» o «nuestro» («we», «us» u «our»)), y el centro veterinario que ha aceptado las Condiciones para Centros Veterinarios (el «Centro» («Practice»), «usted» o «su» («you» o «your»)).

1.2 Cómo se aplica. Este Acuerdo de Encargo forma parte de las Condiciones para Centros Veterinarios en https://vetty.app/practice-terms, que lo incorporan por remisión. Se aplica a Vetty Pro tal como lo definen las Condiciones para Centros Veterinarios: el Portal en pro.vetty.app, sus Plazas, la inclusión en el Marketplace, y las Consultas, registros e informes gestionados a través de ellos. No abarca Vetty Scribe, que tiene su propio acuerdo de encargo del tratamiento en https://vettyscribe.com/dpa.

1.3 Objeto. Este Acuerdo de Encargo establece las condiciones en las que Vetty trata datos personales por cuenta del Centro, tal como exigen el artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 (el «RGPD» («GDPR»)) y las normas equivalentes de las demás Leyes de Protección de Datos.

1.4 Orden de prelación. Cuando este Acuerdo de Encargo y las Condiciones para Centros Veterinarios difieran en materia de tratamiento de datos personales, prevalece este Acuerdo de Encargo. Cuando las Cláusulas Contractuales Tipo se apliquen conforme a la cláusula 10 y difieran de este Acuerdo de Encargo, prevalecen las Cláusulas Contractuales Tipo.

1.5 Idioma. Este Acuerdo de Encargo está redactado en inglés, y prevalece el texto en inglés. Existen versiones traducidas, como la presente versión en español; cualquier traducción que publiquemos se facilita únicamente a título informativo.

2. DEFINICIONES

2.1 Los términos definidos en las Condiciones para Centros Veterinarios (incluidos Cliente, Consulta, Invitado, Marketplace, Miembro, Participante, Portal, Enlace del Centro, Plaza y Veterinario) tienen el mismo significado en este Acuerdo de Encargo.

2.2 «Responsable del tratamiento», «encargado del tratamiento», «interesado», «datos personales», «tratamiento», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado que les atribuye el RGPD. Conforme a las demás Leyes de Protección de Datos, incluyen los términos equivalentes utilizados en ellas, como «organización» («organisation») e «intermediario de datos» («data intermediary») en la legislación de Singapur.

2.3 En este Acuerdo de Encargo:

• Copias del Cliente (Client Copies): las copias que un Cliente conserva en su propia cuenta de vetty.app de sus respuestas al cuestionario previo y sus archivos adjuntos, de los mensajes y archivos intercambiados en el chat de una Consulta, y de la versión de cada informe firmado redactada para él.
• Leyes de Protección de Datos (Data Protection Laws): el RGPD y la normativa francesa de protección de datos; el Decreto-ley Federal n.º 45 de 2021 de los Emiratos Árabes Unidos sobre la Protección de Datos Personales (la «PDPL de los EAU» («UAE PDPL»)); la Personal Data Protection Act 2012 de Singapur (la «PDPA»); la Privacy Act 1988 australiana, incluidos los Australian Privacy Principles; y la Privacy Act 2020 de Nueva Zelanda; en cada caso, en la medida en que sean aplicables al tratamiento.
• Registros del Centro (Practice Records): los datos personales descritos en la cláusula 3.1 y en el Anexo 1.
• Cláusulas Contractuales Tipo (Standard Contractual Clauses): las cláusulas contractuales tipo para la transferencia de datos personales a terceros países aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914.
• Subencargado (Sub-processor): un tercero al que Vetty recurre para tratar Registros del Centro.

3. FUNCIONES Y ÁMBITO

3.1 Vetty como encargado del tratamiento. El Centro es el responsable del tratamiento, y Vetty el encargado del tratamiento, de los Registros del Centro, que son:

• (a) los registros de clientes y pacientes del Centro en el Portal: los clientes y pacientes que añade o importa, y sus notas sobre clientes, pacientes y citas;
• (b) el contenido de cada Consulta tal como se conserva para el Centro: las respuestas del Cliente al cuestionario previo y sus archivos adjuntos; los mensajes y archivos intercambiados en el chat; la grabación del micrófono de cada Participante, hasta su eliminación; el registro del consentimiento o de la negativa de cada Participante a la grabación; la transcripción; y el borrador y el informe firmado, tanto la nota clínica como la versión redactada para el Cliente;
• (c) los archivos que el Centro añade a las citas; y
• (d) cualesquiera otros datos personales que el Centro o sus Miembros introduzcan en el Portal sobre los clientes y pacientes del Centro.

3.2 Vetty como responsable del tratamiento. Vetty es un responsable del tratamiento independiente, y este Acuerdo de Encargo no se aplica, respecto de las cuentas de propietarios y los datos del marketplace, según lo descrito en nuestra Política de Privacidad en https://vetty.app/privacy-policy. Esto abarca:

• (a) las cuentas de los propietarios de mascotas en vetty.app, sus perfiles y las mascotas que registran en él;
• (b) las Copias del Cliente;
• (c) las reservas, los pagos, los reembolsos, las cancelaciones, las incomparecencias, las reseñas y los registros de las Comisiones por Cliente Nuevo;
• (d) el Marketplace: los perfiles públicos y las fichas de los Centros y de los Veterinarios;
• (e) las cuentas de los Miembros, sus licencias y la revisión de las licencias;
• (f) los registros de seguridad, de prevención del fraude, de limitación de la frecuencia de solicitudes y de errores del servicio, y los registros de consentimiento de cookies.

3.3 Datos conservados en ambas funciones. Parte del contenido existe tanto en los Registros del Centro como en forma de Copia del Cliente: el cuestionario previo, el chat y la versión de cada informe firmado redactada para el Cliente. Vetty conserva la copia del Centro como encargado del tratamiento conforme a este Acuerdo de Encargo, y la Copia del Cliente como responsable del tratamiento para que el Cliente mantenga el acceso a ella. La terminación de este Acuerdo de Encargo, o el cierre del Centro, pone fin a la primera y no a la segunda. Ambas se eliminan al final del plazo de la cláusula 13.1.

3.4 Detalles del tratamiento. El Anexo 1 establece el objeto, la duración, la naturaleza y la finalidad del tratamiento, así como las categorías de datos personales y de interesados.

4. INSTRUCCIONES Y OBLIGACIONES DEL CENTRO

4.1 Instrucciones documentadas. El Centro encarga a Vetty el tratamiento de los Registros del Centro para prestar Vetty Pro según lo descrito en las Condiciones para Centros Veterinarios, incluidos la grabación, la transcripción y la redacción de informes según lo descrito en la cláusula 7, y su conservación y eliminación según lo descrito en la cláusula 13. Las Condiciones para Centros Veterinarios, este Acuerdo de Encargo, el uso y la configuración del Portal por el Centro, y cualquier otra instrucción escrita que el Centro dé y Vetty acepte, constituyen las instrucciones documentadas completas del Centro.

4.2 Obligaciones del Centro. El Centro:

• (a) es responsable de contar con una base jurídica para los Registros del Centro y para su tratamiento por Vetty conforme a este Acuerdo de Encargo;
• (b) informa a sus clientes de cómo se tratan sus datos, incluido que una Consulta solo se graba y transcribe con el consentimiento de todos los Participantes, que los informes se redactan con inteligencia artificial y que los revisa y firma el Veterinario, y que los registros se llevan con Vetty;
• (c) responde a las solicitudes de sus clientes relativas a los Registros del Centro, con la asistencia de Vetty conforme a la cláusula 11;
• (d) conserva los registros que exigen su organismo regulador y la ley, exportándolos cuando deba conservarlos durante más tiempo que Vetty; y
• (e) solo da a Vetty instrucciones que cumplan las Leyes de Protección de Datos.

5. OBLIGACIONES DE VETTY

5.1 Instrucciones. Vetty trata los Registros del Centro únicamente siguiendo las instrucciones documentadas del Centro, inclusive con respecto a las transferencias a un tercer país, salvo que esté obligada a ello en virtud del Derecho de la Unión Europea o de un Estado miembro que se aplique a Vetty. En tal caso, Vetty informa al Centro de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público.

5.2 Instrucciones ilícitas. Vetty informa de inmediato al Centro si, en su opinión, una instrucción infringe las Leyes de Protección de Datos. Vetty puede suspender el tratamiento afectado hasta que el Centro confirme o modifique la instrucción.

5.3 Confidencialidad. Vetty garantiza que toda persona a la que autoriza a tratar los Registros del Centro está sujeta a una obligación de confidencialidad, contractual o legal, y que solo los trata en la medida necesaria para prestar el servicio.

5.4 Seguridad. Vetty aplica las medidas técnicas y organizativas del Anexo 3, concebidas para cumplir el artículo 32 del RGPD. Vetty puede modificarlas a lo largo del tiempo, siempre que no se reduzca el nivel global de protección.

5.5 Ningún otro uso. Vetty no vende los Registros del Centro, no los utiliza para sus propios fines y no los utiliza, ni permite que ningún Subencargado los utilice, para entrenar modelos de inteligencia artificial.

5.6 Asistencia. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, Vetty ayuda al Centro a cumplir sus obligaciones conforme a los artículos 32 a 36 del RGPD: seguridad, notificación de violaciones de la seguridad de los datos personales, evaluaciones de impacto relativas a la protección de datos y consulta previa a una autoridad de control. Vetty facilita la información de que dispone sobre el tratamiento, como este Acuerdo de Encargo y sus anexos, y responde a las preguntas razonables.

6. PERSONAL Y RESPONSABLE DE INCIDENTES

Brahim Ouasti es el contacto de privacidad de Vetty y es responsable de la protección de datos y de los incidentes en Vetty. Puede contactarse con él en privacy@vetty.app. La cláusula 15.4 describe su función conforme a la PDPA.

7. GRABACIÓN, TRANSCRIPCIÓN Y REDACCIÓN CON IA

7.1 Consentimiento recabado para el Centro. Antes de unirse a una Consulta, se pregunta a cada Participante, incluidos los Invitados, si consiente la grabación y transcripción del audio de la Consulta. Vetty recaba y almacena cada respuesta, con el momento en que se dio, por cuenta del Centro. Si algún Participante se niega, la Consulta se desarrolla sin grabación, y no se elabora ninguna transcripción ni ningún borrador de informe.

7.2 Qué se graba y cuándo se elimina. Solo se graba el audio del micrófono de cada Participante; el vídeo y la pantalla compartida nunca se graban. El audio se almacena en un espacio de almacenamiento privado en Fráncfort (Alemania), se transcribe tras la Consulta y se elimina en cuanto se almacena la transcripción. El audio de una Consulta que no se completa se elimina de inmediato y, en todo caso, en un plazo de 24 horas.

7.3 Transcripción. El audio lo transcribe el Subencargado de conversión de voz a texto identificado en el Anexo 2. Una vez que Vetty ha recuperado una transcripción, solicita a dicho Subencargado que elimine su copia de la transcripción.

7.4 Redacción con IA. El borrador de informe lo preparan los Subencargados de IA identificados en el Anexo 2 a partir de la transcripción, de las respuestas del Cliente al cuestionario previo y del perfil del paciente. El Veterinario revisa, corrige y firma el informe, y solo un informe firmado llega al Cliente. Ninguna decisión que produzca efectos jurídicos para un Cliente, o que le afecte significativamente de modo similar, se adopta basándose únicamente en medios automatizados.

7.5 Proveedores de IA y entrenamiento. Vetty no tiene ningún acuerdo de retención cero con sus proveedores de IA. Estos pueden conservar las entradas durante un breve periodo para vigilar posibles abusos conforme a sus propias condiciones. Ninguno de ellos puede entrenar sus modelos con los Registros del Centro: las condiciones comerciales de Anthropic prohíben el entrenamiento con contenido de los clientes; OpenAI no utiliza para entrenamiento los datos enviados a través de su API salvo que el cliente lo acepte expresamente, cosa que Vetty no ha hecho, y conserva los registros de vigilancia de abusos hasta 30 días; y Vetty ha excluido el entrenamiento en los ajustes de uso de datos de su cuenta de ElevenLabs.

8. SUBENCARGADOS

8.1 Autorización general. El Centro otorga a Vetty una autorización general por escrito para recurrir a Subencargados. Los Subencargados existentes en la fecha de este Acuerdo de Encargo figuran en el Anexo 2, y el Centro los autoriza.

8.2 Contratos con los Subencargados. Vetty recurre a cada Subencargado en virtud de un contrato escrito que impone obligaciones de protección de datos que ofrecen el mismo nivel de protección que este Acuerdo de Encargo, en particular garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas. Vetty sigue siendo plenamente responsable ante el Centro del cumplimiento de las obligaciones de cada Subencargado.

8.3 Cambios. Vetty informa al Centro con al menos 30 días de antelación antes de añadir o sustituir un Subencargado, por correo electrónico dirigido a los Administradores del Centro y mediante la actualización del Anexo 2. Cuando un cambio sea necesario con carácter urgente para mantener la seguridad o el funcionamiento del servicio, Vetty puede efectuarlo antes e informa al Centro lo antes posible, indicando sus motivos.

8.4 Oposición. El Centro puede oponerse a un nuevo Subencargado por escrito dirigido a privacy@vetty.app dentro de dicho plazo de preaviso, por motivos razonables relacionados con la protección de datos. Vetty examinará la oposición de buena fe y propondrá una solución cuando razonablemente exista una. Si las partes no pueden resolver la oposición, el Centro puede poner fin a las Condiciones para Centros Veterinarios cerrando el Centro antes de que el cambio surta efecto, y Vetty reembolsa la parte no utilizada de cualquier periodo de Suscripción pagado por anticipado.

9. DÓNDE SE TRATAN LOS REGISTROS DEL CENTRO

9.1 Almacenamiento en la Unión Europea. Vetty está establecida en Francia. Los Registros del Centro se almacenan en la Unión Europea, en Fráncfort (Alemania), donde funcionan la base de datos, el almacenamiento de archivos y las funciones de servidor de Vetty.

9.2 Tratamiento fuera de la Unión Europea. Algunos Subencargados tratan Registros del Centro fuera del Espacio Económico Europeo, como muestra el Anexo 2:

• (a) los Subencargados de conversión de voz a texto y de redacción con IA los tratan en los Estados Unidos;
• (b) el Subencargado de correo electrónico trata nombres, direcciones de correo electrónico y el contenido de las notificaciones en los Estados Unidos;
• (c) el Subencargado de vídeo, LiveKit, encamina el audio y el vídeo en directo de cada Consulta a través del servidor de LiveKit más cercano a cada Participante, que puede encontrarse fuera del Espacio Económico Europeo, y conserva los registros de sesión y los registros de actividad que guarda en la región de datos de su proyecto, los Estados Unidos;
• (d) el Subencargado de alojamiento, Vercel, está establecido en los Estados Unidos y sirve el Portal a través de su red mundial; y los Subencargados establecidos en los Estados Unidos, incluidos Supabase, Upstash y PostHog, pueden acceder desde allí a Registros del Centro almacenados en Fráncfort, por ejemplo para prestar soporte o mantenimiento a su servicio.

10. TRANSFERENCIAS INTERNACIONALES

10.1 Transferencias a Subencargados. Cuando un Subencargado trate Registros del Centro en un país situado fuera del Espacio Económico Europeo que no cuente con una decisión de adecuación de la Comisión Europea, o acceda a ellos desde dicho país, la transferencia está cubierta por el Marco de Privacidad de Datos UE-EE. UU. cuando el Subencargado esté certificado conforme a él y, en otro caso, por las cláusulas contractuales tipo de la Comisión Europea (Módulo 3, de encargado a encargado) incluidas en el contrato del Subencargado con Vetty, junto con cualesquiera medidas complementarias que exija la transferencia. El Anexo 2 indica la garantía aplicable a cada Subencargado.

10.2 Centros establecidos fuera del Espacio Económico Europeo. Vetty es un encargado del tratamiento establecido en la Unión Europea. Cuando el Centro esté establecido en un país situado fuera del Espacio Económico Europeo que no cuente con una decisión de adecuación de la Comisión Europea (en la fecha de este Acuerdo de Encargo, los Emiratos Árabes Unidos, Australia y Singapur, pero no Nueva Zelanda), y en la medida en que el RGPD lo exija, el Módulo 4 (de encargado a responsable) de las Cláusulas Contractuales Tipo se aplica a la transferencia de los Registros del Centro de Vetty al Centro y se incorpora a este Acuerdo de Encargo por remisión, con las siguientes opciones:

• (a) Vetty es el exportador de datos y el Centro es el importador de datos;
• (b) no se aplica la cláusula de incorporación opcional (cláusula 7);
• (c) cláusula 17: las cláusulas se rigen por la ley francesa;
• (d) cláusula 18: las controversias se resuelven ante los tribunales de Pontoise (Francia);
• (e) Anexo I.A: las partes son las indicadas en la cláusula 1.1, con las direcciones que allí figuran y en el Portal; el contacto del exportador de datos es Brahim Ouasti en privacy@vetty.app, y el contacto del Centro es el que consta en el Portal; el Anexo I.B es el Anexo 1 de este Acuerdo de Encargo.

10.3 Transferencias conforme a otras leyes. Cuando la Ley de Protección de Datos del país del Centro restrinja la transferencia de los Registros del Centro a Vetty en Francia o su transferencia ulterior a un Subencargado, las partes acuerdan que este Acuerdo de Encargo y, cuando proceda, las Cláusulas Contractuales Tipo constituyen la garantía contractual de dicha transferencia, y se aplica la cláusula 15.

11. SOLICITUDES DE LOS INTERESADOS

11.1 Asistencia. Teniendo en cuenta la naturaleza del tratamiento, Vetty asiste al Centro, mediante medidas técnicas y organizativas apropiadas y siempre que sea posible, para responder a las solicitudes de los interesados que tengan por objeto el ejercicio de sus derechos sobre los Registros del Centro. El Portal permite al Centro consultar, rectificar y exportar los Registros del Centro. Para todo aquello que el Portal no permita, el Centro puede escribir a privacy@vetty.app, y Vetty le ayudará sin dilación indebida.

11.2 Solicitudes dirigidas a Vetty. Si Vetty recibe de un interesado una solicitud relativa a Registros del Centro, la traslada al Centro sin dilación indebida y no la responde por sí misma, salvo para informar a la persona de que se ha trasladado o cuando la ley obligue a Vetty a responder. Una solicitud relativa a datos de los que Vetty es responsable del tratamiento, incluidas las Copias del Cliente, la responde Vetty conforme a su Política de Privacidad.

12. VIOLACIONES DE LA SEGURIDAD DE LOS DATOS PERSONALES

12.1 Notificación al Centro. Vetty notifica al Centro, sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tenga constancia de ella, cualquier violación de la seguridad de los datos personales que afecte a los Registros del Centro. La notificación se realiza por correo electrónico dirigido a los Administradores del Centro.

12.2 Contenido de la notificación. La notificación describe, en la medida en que Vetty lo sepa en ese momento: la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros afectados; sus consecuencias probables; las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos; y el punto de contacto para obtener más información. Cuando Vetty no pueda facilitar toda esta información a la vez, la facilita de manera gradual sin más dilación indebida.

12.3 Quién notifica a las autoridades y a las personas afectadas. El Centro, como responsable del tratamiento de los Registros del Centro, decide sobre cualquier notificación a su autoridad de control y a los interesados afectados y la realiza. Vetty facilita al Centro la información y la ayuda que razonablemente necesite para ello. Vetty no notifica a la autoridad de control del Centro ni a los clientes del Centro una violación de los Registros del Centro en nombre del Centro, salvo que el Centro se lo solicite o la ley lo exija. Cuando la misma violación afecte también a datos de los que Vetty es responsable del tratamiento, incluidas las Copias del Cliente, Vetty realiza sus propias notificaciones: a la CNIL sin dilación indebida y, cuando el RGPD exija la notificación, en un plazo de 72 horas desde que tenga constancia de la violación; a cualquier otra autoridad competente en el plazo que exija la legislación aplicable; y a las personas afectadas cuando la ley lo exija.

12.4 Contención. Vetty adopta medidas razonables para contener la violación, limitar sus efectos e impedir que vuelva a producirse. Una notificación conforme a esta cláusula no constituye un reconocimiento de culpa ni de responsabilidad.

13. CONSERVACIÓN, ELIMINACIÓN Y DEVOLUCIÓN

13.1 Conservación durante el servicio. Siguiendo la instrucción del Centro de la cláusula 4.1, Vetty elimina el contenido de cada Consulta (el cuestionario previo, los mensajes y archivos del chat, la transcripción y el informe) 5 años después de la última Consulta del Cliente con el Centro. El audio se elimina antes, según lo descrito en la cláusula 7.2. Los demás registros de clientes y pacientes del Centro se conservan mientras la cuenta del Centro esté abierta. El Centro puede solicitar a Vetty por escrito que elimine antes determinados Registros del Centro, y Vetty lo hará salvo que la ley le obligue a conservarlos; esto no afecta a las Copias del Cliente.

13.2 Devolución. Mientras el Centro esté abierto, un Administrador puede descargar en cualquier momento una exportación de los Registros del Centro desde los ajustes del centro: un archivo ZIP con los registros de consultas y los informes firmados, las transcripciones en formato de texto y listas de las Consultas, clientes, pacientes y notas. No incluye el audio, porque se elimina una vez transcrito.

13.3 Al finalizar el servicio. Cuando el Centro se cierra, o las Condiciones para Centros Veterinarios terminan por cualquier otro motivo, la persona que cerró el Centro puede descargar la exportación durante 30 días. Al término de esos 30 días, Vetty elimina los Registros del Centro según lo descrito en la cláusula 16 de las Condiciones para Centros Veterinarios, salvo que el Derecho de la Unión Europea o de un Estado miembro obligue a Vetty a conservarlos. Al aceptar este Acuerdo de Encargo, el Centro elige esta combinación de devolución y eliminación. Las Copias del Cliente no son Registros del Centro y permanecen en la cuenta del Cliente hasta el final del plazo de la cláusula 13.1.

13.4 Copias de seguridad. Los datos eliminados permanecen en las copias de seguridad de Vetty hasta que se sobrescriben, lo que ocurre en un plazo de 30 días. Vetty no restaura datos eliminados a partir de las copias de seguridad salvo para recuperarse de un incidente.

13.5 Confirmación. A petición escrita del Centro, Vetty confirma por escrito que los Registros del Centro se han eliminado.

14. INFORMACIÓN Y AUDITORÍAS

14.1 Información. Vetty pone a disposición del Centro toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y de este Acuerdo de Encargo, empezando por este Acuerdo de Encargo y sus anexos y por sus respuestas escritas a las preguntas razonables del Centro.

14.2 Auditorías. Cuando dicha información no baste para demostrar el cumplimiento, o cuando una autoridad de control lo exija, Vetty permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Centro o de un auditor independiente autorizado por él, en las siguientes condiciones:

• (a) el Centro avisa por escrito con al menos 30 días de antelación y propone un alcance;
• (b) no se realiza más de una auditoría en cualquier periodo de 12 meses, salvo que una autoridad de control exija otra o se haya producido una violación de la seguridad de los datos personales de los Registros del Centro;
• (c) la auditoría se realiza en horario laboral, sin perturbar de forma injustificada las operaciones de Vetty, y se limita al tratamiento de los propios Registros del Centro;
• (d) el auditor está sujeto a confidencialidad, no es competidor de Vetty y no accede a datos de otros clientes ni a información cuya revelación comprometería la seguridad del servicio;
• (e) cada parte asume sus propios costes, y el Centro paga al auditor.

Vetty informa de inmediato al Centro si considera que una instrucción dada en el marco de una auditoría infringe las Leyes de Protección de Datos.

15. CONDICIONES ESPECÍFICAS POR PAÍS

15.1 Funcionamiento de esta cláusula. El resto de este Acuerdo de Encargo se aplica a todos los Centros. Esta cláusula añade lo que exige adicionalmente la Ley de Protección de Datos del país del Centro. Cada parte cumple las Leyes de Protección de Datos que le son aplicables.

15.2 Unión Europea. Para un Centro establecido en Chipre, España, Grecia, Italia o Portugal, este Acuerdo de Encargo es el contrato exigido por el artículo 28, apartado 3, del RGPD, y la autoridad de control del Centro es la autoridad de su propio Estado miembro. La autoridad de control principal de Vetty es la Commission nationale de l'informatique et des libertés (CNIL) francesa.

15.3 Emiratos Árabes Unidos. Para un Centro establecido en los Emiratos Árabes Unidos, fuera de las zonas francas financieras que tienen su propia legislación de protección de datos, Vetty actúa como encargado del tratamiento del Centro conforme a la PDPL de los EAU. Vetty trata los Registros del Centro únicamente siguiendo las instrucciones del Centro y para los fines del Anexo 1, aplica las medidas del Anexo 3, notifica al Centro las violaciones según lo descrito en la cláusula 12 y elimina los Registros del Centro según lo descrito en la cláusula 13. El Centro sigue siendo responsable de cualquier notificación a la Oficina de Datos de los EAU (UAE Data Office) y a los interesados, y de la licitud de la transferencia de los Registros del Centro a Vetty fuera de los Emiratos Árabes Unidos.

15.4 Singapur. Para un Centro de Singapur, Vetty actúa como intermediario de datos (data intermediary) del Centro conforme a la PDPA. El Responsable de Protección de Datos (Data Protection Officer) de Vetty a efectos de la PDPA es Brahim Ouasti, en privacy@vetty.app. Vetty protege los Registros del Centro mediante medidas de seguridad razonables, deja de conservarlos cuando ya no son necesarios para los fines del Anexo 1, según lo descrito en la cláusula 13, y notifica al Centro sin dilación indebida, y dentro de las 48 horas de la cláusula 12.1, cuando tenga motivos para creer que se ha producido una violación de datos en relación con ellos. El Centro sigue siendo responsable de evaluar si una violación es notificable y de notificarla a la Personal Data Protection Commission y a las personas afectadas en el plazo que exige la PDPA. A efectos de la Obligación de Limitación de Transferencias (Transfer Limitation Obligation), este Acuerdo de Encargo obliga a Vetty y, a través de sus contratos, a sus Subencargados, a otorgar a los Registros del Centro un nivel de protección comparable al de la PDPA.

15.5 Australia. Para un Centro de Australia que esté sujeto a la Privacy Act 1988, Vetty trata los Registros del Centro de forma coherente con los Australian Privacy Principles aplicables a su seguridad, uso, comunicación y comunicación al extranjero, y ayuda al Centro a evaluar una presunta violación de datos notificable (eligible data breach) conforme al régimen de notificación de violaciones de datos (Notifiable Data Breaches scheme) dentro de los 30 días que dicho régimen permite. El Centro sigue siendo responsable de la notificación a la Office of the Australian Information Commissioner y a las personas afectadas.

15.6 Nueva Zelanda. Para un Centro de Nueva Zelanda, Vetty conserva los Registros del Centro como agente (agent) del Centro a efectos del artículo 11 de la Privacy Act 2020, exclusivamente para prestar el servicio, y no los utiliza ni los comunica para sus propios fines. El Centro sigue siendo responsable de notificar una violación de la privacidad notificable al Privacy Commissioner y a las personas afectadas.

16. RESPONSABILIDAD

16.1 Se aplican las Condiciones para Centros Veterinarios. La responsabilidad de cada parte derivada de este Acuerdo de Encargo o relacionada con él, ya sea contractual, extracontractual o de otro tipo, está sujeta a las exclusiones y límites de la cláusula 21 de las Condiciones para Centros Veterinarios, y computa en el límite máximo único allí establecido. Este Acuerdo de Encargo no crea un segundo límite máximo.

16.2 Interesados y autoridades. Nada de lo dispuesto en este Acuerdo de Encargo limita la responsabilidad de ninguna de las partes frente a los interesados conforme al artículo 82 del RGPD o a las demás Leyes de Protección de Datos, ni los derechos de los interesados conforme a las Cláusulas Contractuales Tipo. Cada parte asume cualquier multa que le imponga una autoridad de control.

17. DURACIÓN, LEY APLICABLE Y MODIFICACIONES

17.1 Duración. Este Acuerdo de Encargo surte efecto cuando el Centro acepta las Condiciones para Centros Veterinarios y se mantiene mientras Vetty trate Registros del Centro. Las cláusulas 12, 13, 14 y 16 siguen vigentes mientras resulten pertinentes.

17.2 Ley aplicable y tribunales. Este Acuerdo de Encargo se rige por la ley francesa, y los tribunales de Pontoise (Francia) tienen competencia exclusiva, según lo previsto en la cláusula 24 de las Condiciones para Centros Veterinarios, salvo que las Cláusulas Contractuales Tipo dispongan otra cosa.

17.3 Modificaciones. Vetty puede modificar este Acuerdo de Encargo según lo descrito en la cláusula 23 de las Condiciones para Centros Veterinarios, con un preaviso de al menos 30 días en caso de modificación sustancial, salvo en el caso de una modificación del Anexo 2, que se rige por la cláusula 8.3. Ninguna modificación puede reducir la protección que este Acuerdo de Encargo otorga a los Registros del Centro por debajo de lo que exigen las Leyes de Protección de Datos.

18. CONTACTO

Brahim Ouasti EI, que opera bajo el nombre comercial Inumbra Labs
Empresario individual (entrepreneur individuel) inscrito en Francia (RNE), SIREN 538 543 034, número de IVA intracomunitario FR24538543034
Contacto de privacidad, protección de datos e incidentes: Brahim Ouasti, privacy@vetty.app

ANEXO 1. DETALLES DEL TRATAMIENTO

Objeto. El alojamiento y la gestión de los Registros del Centro para que el Centro pueda celebrar Consultas por vídeo con sus clientes a través de Vetty Pro, llevar sus registros de clientes y pacientes, y recibir borradores de informes de consulta para que sus Veterinarios los revisen y firmen.

Duración. Mientras el Centro utilice Vetty Pro y, después, hasta la eliminación descrita en la cláusula 13. El audio de una Consulta solo se conserva hasta su transcripción y, como máximo, 24 horas si la Consulta no se completa.

Naturaleza del tratamiento. Recogida, registro, almacenamiento, organización, transcripción mediante conversión de voz a texto, redacción automatizada mediante modelos de IA, visualización por los Miembros del Centro, transmisión de los informes firmados a los Clientes, exportación y eliminación. El audio y el vídeo en directo se transmiten pero no se almacenan, salvo el audio del micrófono grabado con el consentimiento de todos los Participantes.

Finalidades. Prestar la Consulta y su chat; recabar y registrar el consentimiento de cada Participante a la grabación; grabar, transcribir y redactar un informe para su revisión por el Veterinario; entregar el informe firmado al Cliente; conservar, mostrar y exportar los registros de clientes y pacientes del Centro; y eliminarlos al final del plazo de conservación o del servicio.

Categorías de interesados.

• los clientes del Centro (propietarios de mascotas), incluidas las personas que añade o importa al Portal;
• los Invitados a los que un Cliente invita a una Consulta;
• los Miembros del Centro, en la medida en que figuren en los Registros del Centro (por ejemplo, como autor o firmante de una nota o de un informe, o como voz en una grabación).

Los animales no son interesados, pero los datos relativos a ellos están vinculados a sus propietarios.

Categorías de datos personales.

• datos identificativos y de contacto de los clientes: nombre, dirección de correo electrónico, número de teléfono y direcciones postales cuando se faciliten;
• datos del paciente vinculados al cliente: nombre, especie, raza, fecha de nacimiento, sexo, estado de esterilización, peso, número de microchip, fotografía, alergias, medicación, enfermedades crónicas y antecedentes del animal;
• respuestas al cuestionario previo y archivos adjuntos (imágenes);
• mensajes y archivos del chat (imágenes y documentos PDF);
• el audio del micrófono de cada Participante que haya consentido, su nombre tal como se muestra en la llamada, y el registro del consentimiento o de la negativa de cada Participante a la grabación, con su momento;
• la transcripción, con los interlocutores identificados por su función;
• el borrador y el informe firmado, las notas del Veterinario y las notas del Centro;
• los archivos que el Centro añade a las citas.

Categorías especiales. Los Registros del Centro no están destinados a contener categorías especiales de datos personales. Una Consulta puede revelar algunas de forma incidental, por ejemplo un dato sobre la salud de un Cliente mencionado durante la llamada, y Vetty les aplica las mismas medidas. Vetty no utiliza las voces para identificar a nadie.

Frecuencia. Continua, mientras el Centro utilice Vetty Pro.

Autoridad de control competente para Vetty. La Commission nationale de l'informatique et des libertés (CNIL), Francia.

ANEXO 2. SUBENCARGADOS

Estos Subencargados tratan Registros del Centro para Vetty Pro en la fecha de este Acuerdo de Encargo. Se recurre a cada uno de ellos conforme a la cláusula 8. En la última columna, «DPF o CCT» («DPF or SCCs») significa el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) cuando el Subencargado esté certificado conforme a él y, en otro caso, las cláusulas contractuales tipo (Módulo 3), según lo descrito en la cláusula 10.1.

Stripe no es un Subencargado conforme a este Acuerdo de Encargo. El Centro contrata directamente con Stripe su Cuenta de Stripe, y el uso propio por Vetty de los datos de Stripe está cubierto por su Política de Privacidad.

ANEXO 3. MEDIDAS TÉCNICAS Y ORGANIZATIVAS

Ubicación y alojamiento. Los Registros del Centro se almacenan en la Unión Europea, en Fráncfort (Alemania), con un proveedor de alojamiento consolidado cuyo almacenamiento está cifrado en reposo.

Cifrado en tránsito. Todo el tráfico hacia vetty.app y pro.vetty.app se sirve mediante HTTPS, y se indica a los navegadores que utilicen únicamente HTTPS (HTTP Strict Transport Security). El vídeo y el audio se transmiten mediante conexiones WebRTC cifradas.

Control de acceso. Las reglas de acceso a la base de datos limitan a cada usuario a los datos de su propio Centro o de su propia cuenta, y a cada nueva tabla y función se le otorgan derechos de acceso explícitos. Los Registros del Centro se conservan en almacenamiento privado. El acceso de un Miembro a los Registros del Centro finaliza de inmediato cuando se le da de baja o abandona el Centro. Los Administradores controlan quién pertenece al Centro y con qué función.

Audio de las consultas. El audio se conserva en un espacio de almacenamiento privado independiente al que no puede acceder ninguna cuenta de usuario, solo los servidores de Vetty. Cada credencial de carga se limita a un único archivo y caduca al cabo de 6 horas. El audio se elimina una vez almacenada la transcripción, y el nombre del Participante se borra entonces del registro de la grabación. El vídeo y la pantalla compartida nunca se graban.

Archivos. Se accede a los archivos mediante enlaces firmados que caducan al cabo de 6 horas, o mediante solicitudes autenticadas a los servidores de Vetty. Las exportaciones solo se descargan mediante una solicitud autenticada, nunca mediante un enlace público. El tipo de cada archivo cargado se comprueba a partir de su contenido, y los tamaños están limitados.

Autenticación. Cada dirección de correo electrónico se confirma con un código de un solo uso antes de utilizarse. Las contraseñas deben tener al menos 8 caracteres y el servicio de autenticación las almacena en forma de hash. Los Miembros pueden iniciar sesión con Google en su lugar. El registro y otras solicitudes sensibles están sujetos a limitación de frecuencia.

Acceso de los operadores. La consola de operadores de Vetty solo puede utilizarse mediante cuentas de operador nominativas que Vetty haya autorizado, y cada actuación de un operador se anota en un registro de auditoría.

Datos de pago. Los datos de las tarjetas los recoge y conserva Stripe y nunca llegan a los servidores de Vetty.

Minimización y conservación de datos. El audio se elimina una vez transcrito. La copia de cada transcripción del proveedor de conversión de voz a texto se elimina una vez recuperada. El contenido de las consultas se elimina 5 años después de la última Consulta del Cliente con el Centro, y los Registros del Centro 30 días después del cierre del Centro, según lo descrito en la cláusula 13. Las copias de seguridad se sobrescriben en un plazo de 30 días.

Subencargados. Se recurre a cada Subencargado en virtud de un contrato escrito con obligaciones de protección de datos, y ninguno puede entrenar modelos de IA con los Registros del Centro.

Personas. Toda persona a la que Vetty autoriza a tratar Registros del Centro está sujeta a confidencialidad. Brahim Ouasti es responsable de la protección de datos y de la gestión de incidentes.