Contrato de encargado del tratamiento de datos

Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD) · Versión 1.1 · 29 de octubre de 2026

1. Partes

El Responsable del tratamiento («el Responsable» o «el centro»): la persona física o jurídica titular del centro, consulta o actividad profesional dada de alta en Derivia, identificada en el apartado de firmas o, si el contrato se acepta en línea, por los datos de la cuenta y de facturación del centro.

El Encargado del tratamiento («el Encargado» o «Derivia»):

2. Objeto

El Responsable utiliza Derivia, un programa de gestión para centros y profesionales de la psicología, la salud y el bienestar (agenda, clientes o pacientes, fichas, derivaciones, cobros, facturación, gastos, recordatorios y reserva de citas por internet). Para prestar ese servicio, Derivia trata por cuenta del Responsable los datos personales que el centro y su equipo introducen en el programa.

Este contrato regula ese tratamiento. Derivia trata esos datos solo para prestar el servicio al Responsable, nunca para fines propios, y no los cede, vende ni utiliza para publicidad, perfiles o entrenamiento de sistemas de inteligencia artificial.

Quedan fuera de este contrato los datos de la propia cuenta del centro y de su suscripción (nombre y correo de quien se registra, datos de facturación y pago de la cuota de Derivia). Respecto de ellos Derivia es responsable, y se rigen por su Política de Privacidad.

3. Duración

Este contrato está en vigor mientras el Responsable tenga un centro o consulta en Derivia, incluido el periodo de prueba y el periodo de consulta posterior al fin de la suscripción descrito en la cláusula 13, y hasta que los datos se hayan devuelto o suprimido conforme a esa cláusula.

4. Naturaleza, finalidad y datos tratados

El tratamiento consiste en alojar, registrar, organizar, conservar, consultar, modificar, presentar, enviar (por ejemplo, recordatorios por correo), exportar y suprimir datos, de forma automatizada, dentro del programa y de la infraestructura descrita en el Anexo II. La descripción detallada (categorías de interesados, tipos de datos y ubicación) está en el Anexo I.

Categorías especiales de datos. Por la actividad del Responsable, los datos que trata en Derivia son, en general, datos relativos a la salud (art. 9 RGPD): el simple hecho de que una persona tenga citas en un centro de psicología ya lo es, y además las notas libres de las citas, de las reservas o de las fichas pueden contener información clínica. Ambas partes aplican a todos los datos del centro el nivel de protección que corresponde a esa categoría.

Derivia es una herramienta de gestión administrativa: no está diseñada como historia clínica. Si el Responsable decide anotar información clínica en los campos de texto libre, lo hace bajo su criterio y responsabilidad, y debe tener en cuenta cómo funciona el acceso dentro del centro (Anexo III, apartado 3).

5. Obligaciones del Responsable

• Contar con una base jurídica válida para tratar los datos de sus pacientes o clientes y, cuando se trate de datos de salud, con una excepción del art. 9.2 RGPD (por ejemplo, la asistencia sanitaria prestada por un profesional sujeto a secreto profesional, o el consentimiento explícito).
• Informar a los interesados (art. 13 y 14 RGPD), indicando que sus datos se alojan en un programa de gestión prestado por un encargado del tratamiento.
• Introducir en Derivia solo los datos adecuados, pertinentes y limitados a lo necesario, y mantenerlos exactos.
• Decidir quién de su equipo accede al centro y con qué papel (dirección o profesional), retirar el acceso a quien deje de necesitarlo y velar por que su personal guarde las credenciales y respete la confidencialidad.
• Llevar su propio registro de actividades de tratamiento y, si procede, realizar la evaluación de impacto (art. 35 RGPD) y la consulta previa.
• Conservar fuera de Derivia lo que la ley le obligue a guardar más allá de la vida del servicio (por ejemplo, historias clínicas), descargándolo antes de dar de baja el centro. Las facturas emitidas se conservan además bloqueadas como indica la cláusula 13.
• Supervisar el tratamiento, incluidas las auditorías de la cláusula 14.

6. Instrucciones del Responsable

Derivia trata los datos únicamente siguiendo las instrucciones documentadas del Responsable, incluso en lo relativo a transferencias internacionales. Son instrucciones documentadas este contrato, los Términos y Condiciones y la configuración y el uso que el Responsable y su equipo hacen del programa (por ejemplo, activar los recordatorios por correo, la reserva online o la remisión de las facturas a la Agencia Tributaria con VeriFactu). Cualquier otra instrucción debe darse por escrito a info@derivia.app.

Si una instrucción infringe, a juicio de Derivia, el RGPD u otra norma de protección de datos, Derivia lo comunicará de inmediato al Responsable y podrá no ejecutarla hasta que se aclare. Si la ley obliga a Derivia a tratar datos por otro motivo (por ejemplo, un requerimiento judicial), se lo comunicará al Responsable antes de hacerlo, salvo que la ley lo prohíba.

7. Confidencialidad

Derivia mantiene en secreto los datos del Responsable, también una vez terminado el contrato. Hoy el servicio lo opera exclusivamente su titular, que es la única persona con acceso administrativo a la infraestructura; cualquier persona que en el futuro tenga acceso firmará antes un compromiso escrito de confidencialidad y recibirá la formación necesaria.

Derivia no accede al contenido de los datos del centro salvo cuando sea imprescindible para (a) atender una petición de soporte del propio Responsable, (b) resolver una incidencia técnica o de seguridad, o (c) cumplir una obligación legal; y en esos casos accede solo a lo mínimo necesario.

8. Seguridad del tratamiento

Derivia aplica las medidas técnicas y organizativas apropiadas al riesgo del art. 32 RGPD, teniendo en cuenta que se tratan datos de salud. Las medidas vigentes —y las que están en preparación— se describen en el Anexo III. Derivia puede actualizarlas siempre que no reduzca el nivel de protección.

9. Subencargados

El Responsable otorga a Derivia una autorización general para recurrir a los subencargados que figuran en el Anexo II, que es la lista vigente.

Derivia avisará al Responsable de cualquier alta o sustitución de un subencargado con al menos 15 días naturales de antelación, por correo electrónico a los administradores del centro y actualizando la lista publicada en derivia.app/encargo-tratamiento. El Responsable podrá oponerse por escrito y de forma motivada dentro de ese plazo. Si la objeción no se resuelve, el Responsable podrá resolver el contrato y dar de baja el centro sin penalización.

Derivia impone a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este contrato, en particular garantías suficientes de seguridad, y sigue siendo plenamente responsable ante el Responsable del cumplimiento de sus subencargados.

10. Transferencias internacionales

La base de datos principal, los procesos del servidor y las copias de seguridad están en la Unión Europea (Anexo II). Algunos servicios auxiliares —el inicio de sesión, el envío de correos, las notificaciones a los dispositivos, el almacén de archivos de gastos y el correo de soporte— se prestan total o parcialmente desde los Estados Unidos. Esas transferencias se amparan en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de adecuación de la Comisión de 10 de julio de 2023), en los casos en que el proveedor está certificado, y en las Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914, incorporadas a las condiciones de tratamiento de datos de cada proveedor. La excepción es Apple, que entrega los avisos a los iPhone y iPad: no ofrece contrato de encargo ni está adherida a ese Marco. Por eso los avisos no llevan datos de clientes ni de pacientes del centro, y Apple solo recibe el identificador del dispositivo de la persona del equipo que los recibe, una frase fija y dos identificadores internos (Anexo II). Derivia no realizará otras transferencias fuera del Espacio Económico Europeo sin una garantía adecuada del capítulo V del RGPD.

11. Derechos de los interesados

Corresponde al Responsable atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad de sus pacientes o clientes. Para ello el propio programa permite consultar, corregir y borrar los datos de un cliente, sus citas y sus registros, y descargar una copia de los datos del centro (Anexo III, apartado 7).

Si un interesado se dirige a Derivia, Derivia no responderá por su cuenta: trasladará la solicitud al Responsable en un plazo máximo de 5 días hábiles e indicará al interesado que se dirija al centro. Además, Derivia ayudará al Responsable, en la medida de lo posible, cuando la solicitud no pueda atenderse con las herramientas del programa.

12. Brechas de seguridad, evaluaciones de impacto y otras ayudas

Notificación de brechas. Si Derivia tiene conocimiento de una violación de la seguridad que afecte a datos del Responsable, se lo notificará sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento, por correo electrónico a los administradores del centro. La notificación incluirá, en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. Si no se conoce todo a la vez, se facilitará por fases. Corresponde al Responsable decidir si notifica a la Agencia Española de Protección de Datos (72 horas, art. 33 RGPD) y a los interesados (art. 34 RGPD); Derivia le prestará la ayuda que necesite.

Evaluación de impacto y consulta previa. Derivia facilitará al Responsable la información de que disponga sobre el tratamiento, los subencargados y las medidas de seguridad para que pueda realizar, si procede, la evaluación de impacto (art. 35 RGPD) o la consulta previa a la autoridad de control (art. 36 RGPD).

Registro. Derivia mantiene el registro de las categorías de actividades de tratamiento que efectúa por cuenta de sus clientes (art. 30.2 RGPD).

13. Fin del servicio: devolución y supresión de los datos

Al terminar la prestación del servicio, los datos se devuelven o suprimen así:

• Devolución. En cualquier momento, también durante el periodo de consulta del punto siguiente, la dirección del centro puede descargar todos sus datos desde Configuración → Datos del centro → «Descargar todos los datos». Recibe un archivo ZIP con hojas Excel de clientes, visitas (incluidos el pago y la forma de pago), facturas, cobros, bonos, derivaciones y gastos; el PDF de cada factura; los justificantes de gastos, y una copia técnica en formato JSON que el programa puede restaurar. El enlace de descarga llega al correo de la cuenta y caduca a los 7 días. Cada profesional descarga lo suyo, incluidas las facturas que emite a su nombre, desde «Descargar mis datos». Si el Responsable no puede obtener la copia por sí mismo, Derivia le ayudará a conseguirla.
• Periodo de consulta de 90 días. Cuando termina la prueba o la suscripción, el centro queda en solo lectura durante 90 días para que el Responsable pueda consultar, descargar o eliminar sus datos. Transcurrido ese plazo sin suscripción activa, Derivia suprime de forma definitiva todos los datos del centro, previo aviso por correo a los administradores con 30 y 7 días de antelación, salvo las facturas emitidas, que se conservan como se indica en el último punto.
• Supresión a petición. El Responsable puede eliminar el centro en cualquier momento desde Configuración → Datos del centro; la supresión es inmediata en la base de datos y en el almacén de archivos, con la misma salvedad de las facturas emitidas.
• Copias de seguridad. Los datos suprimidos desaparecen de las copias de seguridad cuando estas caducan: como máximo 30 días después de la supresión. Hasta entonces, las copias no se utilizan para nada salvo para recuperar el servicio ante un desastre.
• Conservación de las facturas emitidas. La obligación de conservar las facturas es del Responsable, como emisor (Real Decreto 1619/2012, art. 19; Ley General Tributaria, arts. 66 y 70; Código de Comercio, art. 30). Por eso, y como instrucción del Responsable (art. 28.3.a RGPD), al suprimir el centro Derivia no destruye sus facturas emitidas (las que tienen número: emitidas, anuladas y rectificadas; no los borradores): las guarda bloqueadas, sin acceso desde la app, durante 6 años desde el 31 de diciembre del año de su emisión, solo para entregarlas al Responsable si las pide o a la autoridad que las requiera. Al vencer ese plazo, una tarea diaria las suprime. El Responsable puede pedir por escrito a info@derivia.app que se supriman de inmediato. Las facturas que cada profesional emite a su nombre siguen en su propia cuenta, porque es él quien las emite.
• Ningún otro dato. Fuera de las facturas emitidas, Derivia no conserva datos del centro tras la supresión, salvo que una norma le obligue a ello, en cuyo caso los mantendrá bloqueados y solo durante el plazo legal.

A petición del Responsable, Derivia le confirmará por escrito que la supresión se ha completado.

14. Demostración del cumplimiento y auditorías

Derivia pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de este contrato y del art. 28 RGPD: este documento, la descripción de medidas, la lista de subencargados y las certificaciones y condiciones de tratamiento de datos de sus proveedores de infraestructura.

Si esa información no fuera suficiente, el Responsable podrá realizar —por sí o mediante un auditor independiente sujeto a confidencialidad— una auditoría o inspección, avisando con al menos 30 días de antelación, en horario laborable, sin acceder a datos de otros clientes de Derivia ni comprometer la seguridad del servicio, y como máximo una vez al año, salvo que haya habido una violación de seguridad o lo exija la autoridad de control. Cada parte asumirá sus propios costes.

15. Responsabilidad

Cada parte responde del cumplimiento de sus propias obligaciones conforme al art. 82 RGPD. Si Derivia tratara los datos para fines propios o en contra de las instrucciones del Responsable, será considerada responsable del tratamiento respecto de ese tratamiento y responderá de las infracciones en que haya incurrido personalmente (art. 28.10 RGPD).

16. Modificaciones, prevalencia, ley aplicable y jurisdicción

Derivia podrá actualizar este contrato para adaptarlo a cambios legales o del servicio, publicando la nueva versión en derivia.app/encargo-tratamiento y avisando a los administradores de los centros por correo con al menos 15 días de antelación; ninguna modificación podrá reducir las garantías del art. 28 RGPD. En caso de contradicción en materia de protección de datos entre este contrato y los Términos y Condiciones, prevalece este contrato.

Este contrato se rige por la legislación española. Las controversias se someterán a los Juzgados y Tribunales que correspondan conforme a la normativa aplicable. La autoridad de control competente es la Agencia Española de Protección de Datos.

Firma

Este contrato se acepta en línea junto a los Términos y Condiciones, sin necesidad de firmarlo. Si su centro lo necesita firmado, escríbanos a info@derivia.app indicando la razón social, el NIF, el domicilio y la persona que firma, y le enviaremos el documento firmado por Derivia para que lo firme también.

Anexo I. Descripción del tratamiento

Anexo II. Subencargados autorizados

Lista vigente a 29 de octubre de 2026. Se mantiene actualizada en derivia.app/encargo-tratamiento.

No son subencargados de este contrato, porque solo tratan los datos de la suscripción del centro a Derivia (respecto de los cuales Derivia es responsable): Stripe Payments Europe, Ltd. (pagos con tarjeta en la web), Google Play (pagos en la app de Android) y Apple App Store (pagos en la app de iPhone).

Tampoco lo es la Agencia Tributaria. Cuando el centro activa VeriFactu, los registros de facturación se remiten a la Agencia Tributaria por obligación legal (art. 29.2.j de la Ley General Tributaria y Real Decreto 1007/2023): Derivia los envía directamente, sin intermediarios, en nombre del Responsable y con el apoderamiento que este le otorga en la sede electrónica de la Agencia Tributaria. Por cada factura: nombre y NIF del emisor, número, fecha, tipo, descripción, base imponible, tipo y cuota de IVA o la exención, importe total y, si el destinatario tiene NIF, su NIF y su nombre; en las rectificativas, la factura que rectifican.

Al abrir la aplicación, el navegador del usuario descarga tipografías y una librería de lectura de PDF de servicios de terceros (Google Fonts, Fontshare y cdnjs de Cloudflare). Esos servicios reciben la dirección IP del dispositivo, como cualquier web, pero ningún dato del centro ni de sus pacientes.

Anexo III. Medidas técnicas y organizativas

Descripción de las medidas vigentes. No es una lista de intenciones: lo que todavía no está en marcha figura aparte, en el apartado 9.

1. Infraestructura y ubicación

• El servicio funciona sobre Google Cloud / Firebase, cuyos centros de datos cuentan con certificaciones como ISO/IEC 27001, 27017 y 27018 y SOC 2.
• Base de datos en la Unión Europea (ubicación «eur3»), procesos del servidor en Bélgica (europe-west1) y copias de seguridad en la Unión Europea.

2. Cifrado

• En tránsito: todas las comunicaciones entre la app, la web y los servidores van cifradas (HTTPS/TLS). La web obliga a usar HTTPS (HSTS).
• En reposo: Google cifra por defecto la base de datos, los archivos y las copias de seguridad (AES-256).
• Las contraseñas no se guardan: Firebase Authentication almacena solo un resumen cifrado (hash). Las claves de servicios externos y el certificado electrónico con el que se remite a la Agencia Tributaria se guardan en Google Secret Manager, nunca en la app.

3. Control de acceso

• Para entrar hace falta una cuenta (correo y contraseña, o cuenta de Google).
• Cada centro es un espacio separado. Las reglas de seguridad de la base de datos se aplican en el servidor y solo permiten leer los datos de un centro a sus miembros; nadie puede hacerse miembro de un centro por su cuenta: la incorporación pasa por un código de invitación que valida el servidor y que solo sirve una vez.
• Dos papeles: dirección y profesional. Solo la dirección cambia tarifas, equipo y permisos o elimina el centro; un profesional no puede crear ni mover citas a nombre de otro. Las facturas que un profesional emite a su nombre solo las ve él.
• Las fichas de clientes pueden repartirse por profesional, de modo que cada uno vea solo las suyas, y las derivaciones pueden cerrarse para que cada profesional vea solo las propias.
• Importante: dentro de un centro, la agenda —incluidas las notas escritas en las citas— es visible para todo su equipo. Por eso se recomienda no usar las notas de la cita para información clínica sensible.
• Al cerrar sesión en el navegador se borra la copia local de los datos. La app móvil guarda una copia en el almacenamiento privado de la app para poder funcionar sin conexión y ofrece bloqueo con huella o rostro; la protección física del dispositivo corresponde a quien lo usa.

4. Protección de la aplicación

• Revisiones de seguridad internas del código, las reglas y los procesos del servidor (las últimas, en agosto y octubre de 2026) y pruebas automáticas de las reglas de acceso.
• Protección frente a inyección de código en todo lo que se muestra en pantalla, cabeceras de seguridad en la web y límites de uso en las funciones públicas (reserva online).
• Los procesos que tocan datos sensibles (facturas, cobros, borrados) se ejecutan en el servidor, que comprueba los permisos de quien los pide.

5. Disponibilidad y copias de seguridad

• Recuperación a cualquier minuto de los últimos 7 días (point-in-time recovery).
• Copia diaria completa de la base de datos, a las 04:00, en un almacén privado de la UE accesible solo por la cuenta de servicio, con retención de 30 días.

6. Supresión

• Eliminar el centro borra en el servidor el centro entero (todas sus colecciones), sus archivos, sus códigos de invitación y su enlace de reservas, también lo que cada miembro del equipo guarda de ese centro en su perfil, y deja de remitir sus facturas a la Agencia Tributaria. Las facturas emitidas del centro se apartan antes a un archivo bloqueado, sin acceso desde la app, y una tarea diaria las suprime al cumplirse el plazo de la cláusula 13.
• Eliminar una cuenta borra sus datos personales y la cuenta de acceso.
• Borrado automático de los centros sin suscripción tras el periodo de consulta de 90 días, con avisos previos por correo a los 30 y 7 días.
• Las copias de seguridad caducan como máximo a los 30 días.

7. Portabilidad

• La dirección del centro descarga todos sus datos desde Configuración → Datos del centro → «Descargar todos los datos», en la web y en las apps de Android e iPhone: hojas Excel, el PDF de cada factura, los justificantes de gastos y una copia técnica en JSON que el programa puede restaurar (detalle en la cláusula 13). El enlace llega al correo de la cuenta y caduca a los 7 días.
• Cada profesional descarga lo suyo desde «Descargar mis datos».

8. Organización

• El servicio lo opera exclusivamente su titular, única persona con acceso administrativo a la infraestructura; el acceso a la consola de Google Cloud está protegido por su cuenta de Google.
• Procedimiento de gestión de incidentes y de notificación de brechas conforme a la cláusula 12.
• Revisión de estas medidas cuando cambia el servicio o aparece un riesgo nuevo.

9. Medidas en preparación

• Exigir la verificación App Check en la base de datos y en el inicio de sesión (hoy está implantada en modo de supervisión: comprueba, pero no bloquea).
• Política de contraseñas más exigente y verificación en dos pasos.
• Trasladar el almacén de archivos de gastos a la Unión Europea.