Entre la profesional que se registra en Radar Nutri (la Responsable) y Pablo Ruiz Quintero, NIF 53743155K (el Encargado), en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018 (LOPDGDD). Se acepta al registrarse y forma parte de los Términos.
1. Objeto
El Encargado trata, por cuenta de la Responsable, los datos personales de sus pacientes necesarios para prestar Radar Nutri: ficha, mediciones, historia dietética y clínica que la Responsable introduzca, planes y menús, citas, mensajes, registros de la app del paciente, cobros y facturas.
2. Duración
Mientras dure la suscripción y, después, el plazo de devolución y supresión del punto 9.
3. Naturaleza y finalidad
Alojamiento, consulta, cálculo, generación de menús (incluida la asistencia de inteligencia artificial que la Responsable decida usar), envío de avisos y correos a los pacientes en nombre de la Responsable, copia de seguridad y supresión. Exclusivamente para prestar el servicio.
4. Tipo de datos y categorías de interesados
- Interesados: pacientes de la Responsable (pueden incluir menores si la Responsable los atiende, con el consentimiento de sus representantes).
- Datos identificativos y de contacto; datos de salud (categoría especial, art. 9 RGPD): peso, medidas, patologías, alergias, fármacos, hábitos, fotografías de progreso; datos económicos de cobros.
5. Obligaciones del Encargado
- Tratar los datos solo siguiendo las instrucciones documentadas de la Responsable, que son estos términos y el uso que haga de la aplicación.
- Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
- Aplicar medidas de seguridad adecuadas (art. 32 RGPD): cifrado en tránsito y en reposo, aislamiento de los datos de cada consulta, contraseñas robustas y verificación en dos pasos opcional, registro de accesos, copias de seguridad, mínimo privilegio.
- No recurrir a otro encargado sin autorización: la Responsable autoriza de forma general a los subencargados del punto 6 y será informada de cualquier cambio con 15 días para oponerse.
- Ayudar a la Responsable a atender los derechos de los interesados (la aplicación permite consultar, rectificar, exportar y suprimir los datos de cada paciente).
- Ayudar a la Responsable con la seguridad, las notificaciones de violaciones de seguridad y, en su caso, las evaluaciones de impacto.
- Notificar a la Responsable, sin dilación indebida y en un máximo de 48 horas, cualquier violación de la seguridad de los datos de la que tenga conocimiento.
- Poner a disposición de la Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
- No usar los datos para fines propios ni compartir los datos o el recetario de una consulta con otras.
6. Subencargados autorizados
- Supabase (base de datos, autenticación y archivos) — servidores en la UE (Irlanda).
- Vercel (alojamiento de la aplicación) — región de la UE (Dublín); empresa de EE. UU. adherida al Marco de Privacidad de Datos UE-EE. UU.
- Resend, Inc. (envío de correos a pacientes en nombre de la Responsable) — EE. UU.
- Hangzhou DeepSeek Artificial Intelligence Co., Ltd. (DeepSeek), para generar menús, platos y respuestas con inteligencia artificial — República Popular China. Recibe los datos de salud que la Responsable incluya en la ficha y en sus indicaciones (sexo, edad, peso, patologías, alergias, aversiones, fármacos, observaciones clínicas y notas), sin el nombre ni los datos de contacto del paciente.
Stripe trata los datos de pago de la Responsable (no los de sus pacientes) como proveedor del Encargado.
7. Obligaciones de la Responsable
- Contar con base jurídica para tratar los datos de sus pacientes (en particular, art. 9.2.h RGPD) e informarles.
- Introducir solo los datos necesarios y mantener la confidencialidad de su cuenta.
8. Transferencias internacionales
Vercel y Resend son empresas de EE. UU.; las transferencias a ellas se rigen por el capítulo V del RGPD (Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo, según el proveedor).
DeepSeek está en China, país sin decisión de adecuación de la Comisión Europea, y el Encargado no tiene firmadas con DeepSeek cláusulas contractuales tipo. Al aceptar este contrato, la Responsable queda informada de ello y autoriza expresamente esa transferencia para usar las funciones de inteligencia artificial. Para reducirla, el Encargado no envía el nombre ni los datos de contacto del paciente, y la Responsable se compromete a no escribir datos identificativos (nombre, DNI, teléfono, dirección) en las observaciones, notas ni indicaciones. Las funciones de inteligencia artificial son opcionales: la Responsable puede no usarlas.
9. Fin del encargo: devolución y supresión
Al terminar el servicio, la Responsable dispone de 30 días para descargar sus datos desde la aplicación (formato JSON y CSV). Se le avisará por correo 7 días antes del borrado. Transcurrido el plazo, el Encargado suprimirá los datos de la consulta, salvo los que deba conservar por obligación legal, bloqueados. Las copias de seguridad se sobrescriben en su ciclo ordinario (hasta 7 días). La Responsable puede pedir la supresión inmediata eliminando su cuenta.