Acuerdo de tratamiento de datos personales

Este Acuerdo de Tratamiento de Datos Personales (“DPA”) forma parte de los Términos y condiciones de uso y regula el tratamiento que Alfer realiza por cuenta del Cliente cuando este incorpora datos personales de terceros a Alfer App.

El DPA entra en vigor cuando el Cliente acepta los Términos, una propuesta u orden de servicio y utiliza Alfer para tratar datos personales. Si existe un DPA firmado entre las partes, ese documento prevalecerá respecto de la misma materia.

1. Partes y roles

El “Cliente” es la persona natural o jurídica que contrata o administra un tenant de Alfer y determina para qué y cómo se utilizan los datos de sus pacientes, clientes, trabajadores, proveedores u otros terceros. El Cliente actúa como titular del banco de datos personales o responsable del tratamiento, según corresponda.

“Alfer” es FERNANDEZ DE PAREDES ALEGRIA ALVARO ALFREDO, persona natural con negocio que opera bajo el nombre comercial ALFER, RUC N.º 10416991249, con domicilio fiscal en Av. Los Precursores N.º 711, Dpto. 402, Urb. Valle Hermoso Oeste, Santiago de Surco, Lima, Perú. Alfer actúa como encargado de tratamiento respecto de los Datos del Cliente.

Alfer no adquiere propiedad ni titularidad sobre los Datos del Cliente. La propiedad de la plataforma, su código, diseño y documentación es independiente de la titularidad de los datos almacenados.

2. Objeto y duración

El Cliente encarga a Alfer el alojamiento, organización, consulta, respaldo, transmisión y demás operaciones técnicamente necesarias para prestar las funciones de Alfer App. El encargo dura mientras se mantenga la cuenta o relación contractual y durante los periodos limitados de exportación, eliminación y respaldo indicados en este DPA.

3. Instrucciones del Cliente

Alfer tratará los Datos del Cliente únicamente conforme a: (i) este DPA; (ii) los Términos; (iii) la configuración y las acciones que el Cliente y sus usuarios ejecuten en la plataforma; (iv) solicitudes documentadas de soporte; y (v) obligaciones legales aplicables.

Si Alfer considera que una instrucción infringe la normativa de protección de datos, informará al Cliente y podrá suspender su ejecución mientras se revisa, salvo prohibición legal. Las instrucciones adicionales que impliquen desarrollos, costos o riesgos no contemplados requerirán acuerdo entre las partes.

4. Obligaciones del Cliente

El Cliente es responsable de:

• determinar finalidades legítimas y limitar los datos a lo necesario;
• obtener y conservar prueba del consentimiento u otra base legal válida, especialmente para datos sensibles o de salud;
• brindar a los titulares avisos completos sobre el tratamiento, Alfer, los subencargados y las transferencias internacionales;
• mantener datos exactos, pertinentes y actualizados;
• definir usuarios, roles, permisos y periodos de conservación;
• atender los derechos de los titulares y comunicar a Alfer las instrucciones técnicas necesarias;
• inscribir, modificar y cancelar sus bancos de datos personales, así como comunicar o registrar los flujos transfronterizos, cuando corresponda;
• no ingresar claves bancarias, contraseñas, códigos de autenticación, números completos de tarjetas ni códigos de seguridad; y
• cumplir las normas sectoriales aplicables a su actividad, incluidas las relativas a historias clínicas, secreto profesional, conservación documental y comunicaciones.

El Cliente autoriza el tratamiento en Estados Unidos y la intervención de los subencargados identificados en el Anexo 3.

5. Obligaciones de Alfer

Alfer se obliga a:

• tratar los datos solo para prestar, proteger y dar soporte al servicio conforme a instrucciones;
• limitar el acceso a personas autorizadas sujetas a confidencialidad;
• aplicar medidas de seguridad proporcionales a la naturaleza y riesgos del tratamiento;
• no vender, alquilar, publicitar con, ni explotar para fines incompatibles los Datos del Cliente;
• no entrenar modelos propios de propósito general con los Datos del Cliente ni autorizar ese entrenamiento por terceros sin instrucción y consentimiento previos;
• colaborar razonablemente con solicitudes de titulares, incidentes y requerimientos de autoridad;
• eliminar o devolver los datos al finalizar el servicio conforme a este DPA; y
• mantener información razonablemente necesaria para demostrar el cumplimiento del encargo.

6. Confidencialidad

Alfer mantendrá la confidencialidad de los Datos del Cliente incluso después de terminar el encargo. Esta obligación se extiende a las personas autorizadas y subencargados, salvo revelación exigida por ley. Cuando sea legalmente posible, Alfer informará al Cliente antes de responder a un requerimiento obligatorio.

7. Seguridad

Alfer mantendrá medidas técnicas y organizativas razonables, descritas en el Anexo 2, y podrá actualizarlas para responder a cambios tecnológicos y riesgos, siempre que no reduzca materialmente el nivel general de protección.

El Cliente reconoce que también debe proteger sus dispositivos, cuentas Google, permisos, redes y procesos internos. Ninguna medida elimina completamente el riesgo y cada parte responderá por los controles bajo su ámbito.

8. Incidentes de seguridad

Alfer informará al Cliente sin dilación indebida después de confirmar un incidente que afecte Datos del Cliente. La comunicación incluirá, según la información disponible, naturaleza del incidente, categorías de datos y titulares potencialmente afectados, consecuencias probables y medidas adoptadas o propuestas.

Alfer investigará y mitigará el incidente dentro de su ámbito, conservará la documentación aplicable y colaborará razonablemente. El Cliente, como responsable, determina y realiza las comunicaciones a titulares y autoridades, salvo que la ley imponga directamente una obligación a Alfer. La notificación no constituye reconocimiento de culpa.

9. Derechos de los titulares

El Cliente es el canal principal para solicitudes de información, acceso, rectificación, cancelación, oposición, portabilidad u otros derechos sobre los Datos del Cliente. Si Alfer recibe directamente una solicitud identificable, la trasladará al Cliente de inmediato y no responderá por cuenta de este salvo instrucción o deber legal.

Alfer proporcionará las herramientas disponibles y asistencia razonable para localizar, exportar, corregir o eliminar datos. Las solicitudes que exijan trabajos extraordinarios podrán requerir un acuerdo de alcance y costos, siempre que ello no impida el ejercicio de derechos.

10. Subencargados

El Cliente concede autorización general para utilizar los subencargados del Anexo 3. Alfer impondrá al subencargado obligaciones de protección compatibles con este DPA y seguirá siendo responsable frente al Cliente por el cumplimiento del encargo dentro de los límites legales y contractuales aplicables.

Alfer comunicará la incorporación o sustitución material de un subencargado que trate Datos del Cliente. El Cliente podrá formular una objeción fundada en protección de datos dentro de los diez días calendario siguientes. Las partes buscarán una alternativa razonable; si no existe, cualquiera podrá terminar únicamente el servicio afectado.

11. Transferencias internacionales

El Cliente instruye y autoriza a Alfer a transferir y tratar Datos del Cliente en la región us-central1 de Google Cloud, Estados Unidos, para las finalidades descritas. El Cliente es responsable de informar esta transferencia a los titulares e incorporarla en la inscripción o comunicación correspondiente a sus bancos de datos.

Alfer mantendrá contratos y garantías razonables con sus subencargados y proporcionará al Cliente la información disponible que sea necesaria para documentar el flujo. Esta cláusula no excluye las obligaciones propias que la legislación imponga directamente a Alfer como encargado o exportador.

12. Auditorías e información

Previa solicitud razonable, Alfer facilitará información disponible para demostrar el cumplimiento de este DPA. Si esa información no fuera suficiente, el Cliente podrá solicitar una auditoría como máximo una vez al año, con aviso mínimo de treinta días, durante horario laboral, sujeta a confidencialidad y sin comprometer la seguridad ni datos de otros clientes.

El Cliente asumirá los costos de auditorías especiales, salvo que se identifique un incumplimiento material imputable a Alfer. Las autoridades competentes mantienen sus facultades legales.

13. Devolución y eliminación

Al terminar el servicio, el Cliente dispone de siete días calendario para solicitar o realizar una exportación disponible. Vencido ese plazo, Alfer eliminará o anonimizará los datos activos, salvo conservación exigida por ley o necesaria para el ejercicio o defensa de derechos.

Las copias programadas de Firestore expiran al completar su retención de siete días. Los archivos eliminados de Cloud Storage pueden permanecer temporalmente recuperables, pero fuera del uso ordinario, durante la política de eliminación temporal configurada, actualmente de hasta siete días. Durante esos periodos los datos seguirán protegidos por este DPA.

14. Responsabilidad y prevalencia

Cada parte responde por sus decisiones, instrucciones, controles e incumplimientos dentro de su ámbito. El Cliente responde por la licitud de la recopilación, finalidades, consentimiento, avisos, bancos de datos y flujos que determine. Alfer responde por incumplir sus obligaciones propias como encargado.

Las limitaciones de responsabilidad de los Términos se aplican a este DPA en la máxima medida permitida por ley. En caso de contradicción sobre protección de datos, prevalece este DPA; una orden o DPA firmado prevalece si identifica expresamente la disposición que modifica.

15. Ley y contacto

Este DPA se rige por las leyes del Perú y la competencia establecida en los Términos. Las consultas e instrucciones relacionadas con protección de datos deben enviarse a privacidad@alfer.pe. Las solicitudes estrictamente técnicas pueden dirigirse a soporte@alfer.pe.

Anexo 1. Detalles del tratamiento

• Finalidad: prestar las funciones de gestión, almacenamiento, consulta, autenticación, soporte, respaldo, integraciones e inteligencia artificial solicitadas por el Cliente.
• Operaciones: recopilación por instrucción del Cliente, registro, organización, almacenamiento, consulta, modificación, transmisión, análisis, respaldo, exportación, bloqueo y eliminación.
• Titulares: pacientes, clientes, prospectos, trabajadores, profesionales, proveedores, representantes, usuarios autorizados y otros terceros relacionados con el Cliente.
• Datos: identificación, contacto, relación con el Cliente, citas, servicios, consentimientos, ventas, gastos, cobros, flujo de caja, movimientos de estados de cuenta, comunicaciones, voz, documentos, imágenes y registros operativos.
• Datos sensibles: cuando el Cliente los incorpore, información de salud, diagnósticos, tratamientos, historias, documentos y fotografías clínicas.
• Duración: vigencia del servicio más los periodos de exportación, conservación legal y respaldo descritos.

Anexo 2. Medidas de seguridad

• autenticación mediante cuentas Google y gestión de usuarios, roles y permisos por tenant;
• separación lógica de la información entre tenants;
• cifrado de comunicaciones mediante protocolos seguros y controles de infraestructura de Google Cloud;
• restricción del acceso administrativo según necesidad operativa;
• registros técnicos y de seguridad razonablemente necesarios;
• copias programadas de Firestore con retención de siete días;
• eliminación temporal de Cloud Storage conforme a la configuración indicada; y
• revisión y actualización de controles según riesgos, evolución del servicio e incidentes.

Anexo 3. Subencargados autorizados

• Google Cloud Platform / Google LLC: Cloud Firestore para base de datos, Cloud Storage para archivos y Vertex AI con Gemini para las funciones de inteligencia artificial solicitadas. Ubicación principal configurada: us-central1, Estados Unidos.

Google Analytics se utiliza para analítica de Alfer bajo la Política de privacidad. Gmail, Google Calendar y los servicios de Meta actúan únicamente cuando el usuario habilita voluntariamente la integración correspondiente y se sujetan también a las condiciones del proveedor.