ACUERDO DE ENCARGO DEL TRATAMIENTO

Última actualización: 13 de noviembre de 2026

Esta es una traducción facilitada a título informativo. La versión en inglés es la versión vinculante y prevalece en caso de discrepancia.

1. SOBRE ESTE ACUERDO

1.1 Las partes. Este Acuerdo de Encargo del Tratamiento (el «Acuerdo de Encargo» («DPA»)) se celebra entre Brahim Ouasti EI, que opera bajo el nombre comercial Inumbra Labs, empresario individual (entrepreneur individuel) inscrito en Francia en el registro nacional de empresas (Registre national des entreprises) con el número SIREN 538 543 034, número de IVA intracomunitario FR24538543034, y que gestiona Harnay («Harnay», «nosotros» o «nuestro» («we», «us» u «our»)), y el centro veterinario que ha aceptado las Condiciones para Centros Veterinarios (el «Centro» («Practice»), «usted» o «su» («you» o «your»)).

1.2 Cómo se aplica. Este Acuerdo de Encargo forma parte de las Condiciones para Centros Veterinarios en https://harnay.com/practice-terms, que lo incorporan por remisión. Se aplica a Harnay Pro tal como lo definen las Condiciones para Centros Veterinarios: el Portal en pro.harnay.com, sus Plazas, el Vetty Scribe que incluye, la inclusión en el Marketplace, y las Consultas, registros e informes gestionados a través de ellos. Abarca el tratamiento de Vetty Scribe dentro de Harnay Pro, según lo descrito en las cláusulas 7.6 a 7.12. El acuerdo de encargo del tratamiento de Vetty Scribe en https://vettyscribe.com/dpa solo se aplica a una suscripción independiente a Vetty Scribe contratada en vettyscribe.com, que es distinta de Harnay Pro.

1.3 Objeto. Este Acuerdo de Encargo establece las condiciones en las que Harnay trata datos personales por cuenta del Centro, tal como exigen el artículo 28 del Reglamento General de Protección de Datos (UE) 2016/679 (el «RGPD» («GDPR»)) y las normas equivalentes de las demás Leyes de Protección de Datos.

1.4 Orden de prelación. Cuando este Acuerdo de Encargo y las Condiciones para Centros Veterinarios difieran en materia de tratamiento de datos personales, prevalece este Acuerdo de Encargo. Cuando las Cláusulas Contractuales Tipo se apliquen conforme a la cláusula 10 y difieran de este Acuerdo de Encargo, prevalecen las Cláusulas Contractuales Tipo.

1.5 Idioma. Este Acuerdo de Encargo está redactado en inglés, y prevalece el texto en inglés. Existen versiones traducidas, como la presente versión en español; cualquier traducción que publiquemos se facilita únicamente a título informativo.

2. DEFINICIONES

2.1 Los términos definidos en las Condiciones para Centros Veterinarios (incluidos Administrador, Cliente, Consulta, Invitado, Marketplace, Miembro, Participante, Portal, Enlace del Centro, Plaza, Veterinario y Vetty Scribe) tienen el mismo significado en este Acuerdo de Encargo.

2.2 «Responsable del tratamiento», «encargado del tratamiento», «interesado», «datos personales», «tratamiento», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado que les atribuye el RGPD. Conforme a las demás Leyes de Protección de Datos, incluyen los términos equivalentes utilizados en ellas, como «organización» («organisation») e «intermediario de datos» («data intermediary») en la legislación de Singapur.

2.3 En este Acuerdo de Encargo:

• Copias del Cliente (Client Copies): las copias que un Cliente conserva en su propia cuenta de harnay.com de sus respuestas al cuestionario previo y sus archivos adjuntos, de los mensajes y archivos intercambiados en el chat de una Consulta, y de la versión de cada informe firmado redactada para él.
• Leyes de Protección de Datos (Data Protection Laws): el RGPD y la normativa francesa de protección de datos; el Decreto-ley Federal n.º 45 de 2021 de los Emiratos Árabes Unidos sobre la Protección de Datos Personales (la «PDPL de los EAU» («UAE PDPL»)); la Personal Data Protection Act 2012 de Singapur (la «PDPA»); la Privacy Act 1988 australiana, incluidos los Australian Privacy Principles; y la Privacy Act 2020 de Nueva Zelanda; en cada caso, en la medida en que sean aplicables al tratamiento.
• Registros del Centro (Practice Records): los datos personales descritos en la cláusula 3.1 y en el Anexo 1.
• Cláusulas Contractuales Tipo (Standard Contractual Clauses): las cláusulas contractuales tipo para la transferencia de datos personales a terceros países aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914.
• Subencargado (Sub-processor): un tercero al que Harnay recurre para tratar Registros del Centro.

3. FUNCIONES Y ÁMBITO

3.1 Harnay como encargado del tratamiento. El Centro es el responsable del tratamiento, y Harnay el encargado del tratamiento, de los Registros del Centro, que son:

• (a) los registros de clientes y pacientes del Centro en el Portal: los clientes y pacientes que añade o importa, y sus notas sobre clientes, pacientes y citas;
• (b) el contenido de cada Consulta tal como se conserva para el Centro: las respuestas del Cliente al cuestionario previo y sus archivos adjuntos; los mensajes y archivos intercambiados en el chat; la grabación del micrófono de cada Participante, hasta su eliminación; el registro de la incorporación de cada Participante, con la versión del aviso de grabación mostrado; la transcripción; y el borrador y el informe firmado, tanto la nota clínica como la versión redactada para el Cliente;
• (c) los archivos que el Centro añade a las citas;
• (d) los registros de cada consulta presencial grabada con Vetty Scribe: la grabación, hasta su eliminación; la confirmación de que el cliente dio su consentimiento, con el momento en que se dio; la transcripción y el resultado sin procesar del Subencargado de conversión de voz a texto; los hechos extraídos de ella; el borrador y el informe firmado, con sus versiones y su registro de auditoría; y los datos del cliente y del paciente introducidos para ella; y
• (e) cualesquiera otros datos personales que el Centro o sus Miembros introduzcan en el Portal sobre los clientes y pacientes del Centro.

3.2 Harnay como responsable del tratamiento. Harnay es un responsable del tratamiento independiente, y este Acuerdo de Encargo no se aplica, respecto de las cuentas de propietarios y los datos del marketplace, según lo descrito en nuestra Política de Privacidad en https://harnay.com/privacy-policy. Esto abarca:

• (a) las cuentas de los propietarios de mascotas en harnay.com, sus perfiles y las mascotas que registran en él;
• (b) las Copias del Cliente;
• (c) las reservas, los pagos, los reembolsos, las cancelaciones, las incomparecencias, las reseñas y los registros de las Comisiones por Cliente Nuevo;
• (d) el Marketplace: los perfiles públicos y las fichas de los Centros y de los Veterinarios;
• (e) las cuentas de los Miembros, sus licencias y la revisión de las licencias, y la muestra de voz y las muestras de redacción de un Veterinario (cláusula 7.9);
• (f) los registros de seguridad, de prevención del fraude, de limitación de la frecuencia de solicitudes y de errores del servicio, y los registros de consentimiento de cookies.

3.3 Datos conservados en ambas funciones. Parte del contenido existe tanto en los Registros del Centro como en forma de Copia del Cliente: el cuestionario previo, el chat y la versión de cada informe firmado redactada para el Cliente. Harnay conserva la copia del Centro como encargado del tratamiento conforme a este Acuerdo de Encargo, y la Copia del Cliente como responsable del tratamiento para que el Cliente mantenga el acceso a ella. La terminación de este Acuerdo de Encargo, o el cierre del Centro, pone fin a la primera y no a la segunda. Ambas se eliminan al final del plazo de la cláusula 13.1.

3.4 Detalles del tratamiento. El Anexo 1 establece el objeto, la duración, la naturaleza y la finalidad del tratamiento, así como las categorías de datos personales y de interesados.

4. INSTRUCCIONES Y OBLIGACIONES DEL CENTRO

4.1 Instrucciones documentadas. El Centro encarga a Harnay el tratamiento de los Registros del Centro para prestar Harnay Pro según lo descrito en las Condiciones para Centros Veterinarios, incluidos la grabación, la transcripción y la redacción de informes según lo descrito en la cláusula 7, y su conservación y eliminación según lo descrito en la cláusula 13. Las Condiciones para Centros Veterinarios, este Acuerdo de Encargo, el uso y la configuración del Portal por el Centro, y cualquier otra instrucción escrita que el Centro dé y Harnay acepte, constituyen las instrucciones documentadas completas del Centro.

4.2 Obligaciones del Centro. El Centro:

• (a) es responsable de contar con una base jurídica para los Registros del Centro y para su tratamiento por Harnay conforme a este Acuerdo de Encargo;
• (b) informa a sus clientes de cómo se tratan sus datos, incluido que todas las Consultas se graban y se transcriben para elaborar el informe que recibe el Cliente, sobre la base del contrato en virtud del cual se celebra la Consulta (cláusula 7.1), que los informes se redactan con inteligencia artificial y que los revisa y firma el Veterinario, y que los registros se llevan con Harnay;
• (c) antes de que se grabe una consulta presencial con Vetty Scribe, informa a todas las personas presentes de que se graba y se transcribe, obtiene cualquier consentimiento a la grabación que exija la ley del lugar de la consulta y no graba a nadie que haya denegado o retirado su consentimiento, según lo descrito en la cláusula 8.9 de las Condiciones para Centros Veterinarios;
• (d) responde a las solicitudes de sus clientes relativas a los Registros del Centro, con la asistencia de Harnay conforme a la cláusula 11;
• (e) conserva los registros que exigen su organismo regulador y la ley, exportándolos cuando deba conservarlos durante más tiempo que Harnay; y
• (f) solo da a Harnay instrucciones que cumplan las Leyes de Protección de Datos.

5. OBLIGACIONES DE HARNAY

5.1 Instrucciones. Harnay trata los Registros del Centro únicamente siguiendo las instrucciones documentadas del Centro, inclusive con respecto a las transferencias a un tercer país, salvo que esté obligada a ello en virtud del Derecho de la Unión Europea o de un Estado miembro que se aplique a Harnay. En tal caso, Harnay informa al Centro de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público.

5.2 Instrucciones ilícitas. Harnay informa de inmediato al Centro si, en su opinión, una instrucción infringe las Leyes de Protección de Datos. Harnay puede suspender el tratamiento afectado hasta que el Centro confirme o modifique la instrucción.

5.3 Confidencialidad. Harnay garantiza que toda persona a la que autoriza a tratar los Registros del Centro está sujeta a una obligación de confidencialidad, contractual o legal, y que solo los trata en la medida necesaria para prestar el servicio.

5.4 Seguridad. Harnay aplica las medidas técnicas y organizativas del Anexo 3, concebidas para cumplir el artículo 32 del RGPD. Harnay puede modificarlas a lo largo del tiempo, siempre que no se reduzca el nivel global de protección.

5.5 Ningún otro uso. Harnay no vende los Registros del Centro, no los utiliza para sus propios fines y no los utiliza, ni permite que ningún Subencargado los utilice, para entrenar modelos de inteligencia artificial.

5.6 Asistencia. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, Harnay ayuda al Centro a cumplir sus obligaciones conforme a los artículos 32 a 36 del RGPD: seguridad, notificación de violaciones de la seguridad de los datos personales, evaluaciones de impacto relativas a la protección de datos y consulta previa a una autoridad de control. Harnay facilita la información de que dispone sobre el tratamiento, como este Acuerdo de Encargo y sus anexos, y responde a las preguntas razonables.

6. PERSONAL Y RESPONSABLE DE INCIDENTES

Brahim Ouasti es el contacto de privacidad de Harnay y es responsable de la protección de datos y de los incidentes en Harnay. Puede contactarse con él en privacy@harnay.com. La cláusula 15.4 describe su función conforme a la PDPA.

7. GRABACIÓN, TRANSCRIPCIÓN Y REDACCIÓN CON IA

7.1 Aviso dado por cuenta del Centro. Todas las Consultas se graban y se transcriben. Antes de unirse a una Consulta, se informa a cada Participante, incluidos los Invitados, de que el audio de la Consulta se graba y se transcribe, y unirse supone aceptarlo. Harnay muestra el aviso y almacena cada incorporación, con su momento y la versión del aviso mostrado, por cuenta del Centro. No existe la opción de unirse sin grabación. La grabación se realiza para elaborar el informe que recibe el Cliente, y su base jurídica es la ejecución de un contrato (artículo 6, apartado 1, letra b), del RGPD): el contrato del Centro con su Cliente y las condiciones que cada Participante ha aceptado, es decir, las Condiciones del Servicio de Harnay, para el Cliente y cualquier Invitado, y, para los Miembros, las Condiciones para Centros Veterinarios y su pertenencia al Centro.

7.2 Qué se graba y cuándo se elimina. Solo se graba el audio del micrófono de cada Participante; el vídeo y la pantalla compartida nunca se graban. El audio se almacena en un espacio de almacenamiento privado en Fráncfort (Alemania), se transcribe tras la Consulta y se elimina en cuanto se almacena la transcripción. El audio de una Consulta que no se completa se elimina de inmediato y, en todo caso, en un plazo de 24 horas.

7.3 Transcripción. El audio lo transcribe el Subencargado de conversión de voz a texto identificado en el Anexo 2. Una vez que Harnay ha recuperado una transcripción, solicita a dicho Subencargado que elimine su copia de la transcripción.

7.4 Redacción con IA. El borrador de informe lo preparan los Subencargados de IA identificados en el Anexo 2 a partir de la transcripción, de las respuestas del Cliente al cuestionario previo y del perfil del paciente. El Veterinario revisa, corrige y firma el informe, y solo un informe firmado llega al Cliente. Ninguna decisión que produzca efectos jurídicos para un Cliente, o que le afecte significativamente de modo similar, se adopta basándose únicamente en medios automatizados.

7.5 Proveedores de IA y entrenamiento. Harnay no tiene ningún acuerdo de retención cero con sus proveedores de IA. Estos pueden conservar las entradas durante un breve periodo para vigilar posibles abusos conforme a sus propias condiciones. Ninguno de ellos puede entrenar sus modelos con los Registros del Centro: las condiciones comerciales de Anthropic prohíben el entrenamiento con contenido de los clientes; OpenAI no utiliza para entrenamiento los datos enviados a través de su API salvo que el cliente lo acepte expresamente, cosa que Harnay no ha hecho, y conserva los registros de vigilancia de abusos hasta 30 días; y Harnay ha excluido el entrenamiento en los ajustes de uso de datos de su cuenta de ElevenLabs.

7.6 Vetty Scribe. Con Vetty Scribe, un Veterinario graba una consulta presencial en el navegador de un dispositivo de su elección. Harnay transcribe la grabación y redacta a partir de ella un informe para que el Veterinario lo revise, lo edite y lo firme, según lo descrito en las cláusulas 7.7 a 7.12. Las cláusulas 7.1 a 7.4 solo se aplican a las Consultas por vídeo; la cláusula 7.5 se aplica a ambas.

7.7 Consentimiento en la sala. Antes de que comience una grabación, Vetty Scribe pide al Veterinario que confirme que el cliente ha dado su consentimiento, con el texto de consentimiento propio del Centro o, si el Centro no ha establecido ninguno, con el de Harnay. Una vez confirmado el consentimiento de un cliente, queda archivado para el Centro y no vuelve a solicitarse. Cada consulta registra que se confirmó el consentimiento, con el momento en que se confirmó, y un informe no puede firmarse sin esa confirmación. La confirmación es la declaración del Centro a Harnay. No transfiere a Harnay la responsabilidad del Centro conforme a la cláusula 4.2(c).

7.8 La grabación. El audio se guarda en el almacenamiento del navegador del dispositivo de grabación antes de cargarse, de modo que una pérdida de conexión no haga perder la consulta, y después se almacena en un espacio de almacenamiento privado en Fráncfort (Alemania). Se envía al Subencargado de conversión de voz a texto identificado en el Anexo 2 mediante un enlace firmado que caduca al cabo de una hora. Una vez que Harnay ha recuperado la transcripción y ha terminado de procesar la consulta, elimina la copia de la transcripción que conserva dicho Subencargado. El resultado sin procesar del Subencargado se conserva con el registro como prueba en la que se basa la transcripción.

7.9 Muestras de voz y de redacción. Un Veterinario puede registrar una breve muestra de su propia voz, de unos segundos. Vetty Scribe la coloca al principio de cada grabación que realiza ese Veterinario, para que la transcripción pueda distinguir su voz de la del cliente, por lo que llega al Subencargado de conversión de voz a texto con cada grabación. Un Veterinario también puede pegar informes anteriores como referencia de estilo; se desidentifican antes de almacenarse y solo se utilizan para dar forma a los propios informes de ese Veterinario. Harnay conserva las muestras de voz y de redacción como responsable del tratamiento, conforme a su Política de Privacidad, y solo almacena una muestra de voz con el consentimiento explícito del Veterinario. Las voces se transcriben, no se utilizan para identificar a nadie.

7.10 Redacción con IA. A partir de la transcripción, los Subencargados de IA identificados en el Anexo 2 extraen los hechos clínicos, redactan el informe en la plantilla que eligió el Veterinario, contrastan el borrador con la transcripción y, cuando se utiliza esta función, lo traducen o lo adaptan al estilo de redacción del Veterinario. Harnay llama a OpenAI, cuando está seleccionado, con el almacenamiento de las respuestas desactivado. El Veterinario revisa, corrige y firma el informe. Ninguna decisión que produzca efectos jurídicos para un cliente, o que le afecte significativamente de modo similar, se adopta basándose únicamente en medios automatizados. Vetty Scribe no envía ningún informe ni ningún correo electrónico a los clientes del Centro.

7.11 Plazos del audio. Siguiendo la instrucción del Centro de la cláusula 4.1, el audio de una consulta cuyo informe no se ha firmado se elimina 30 días después de su grabación, y el audio de una consulta cuyo informe se ha firmado se elimina 7 días después de la primera firma; una modificación posterior no prorroga ese plazo. Estos plazos son fijos. La eliminación del audio no elimina la transcripción ni el borrador.

7.12 Eliminación de una consulta. Mientras el Centro esté abierto, puede eliminar una consulta de Vetty Scribe en cualquier momento. Ello elimina su audio de inmediato y la oculta de las listas del Centro; su transcripción y su informe permanecen en los Registros del Centro, según lo descrito en la cláusula 13.1, salvo que el Centro dé instrucciones por escrito a Harnay para suprimirlos antes.

8. SUBENCARGADOS

8.1 Autorización general. El Centro otorga a Harnay una autorización general por escrito para recurrir a Subencargados. Los Subencargados existentes en la fecha de este Acuerdo de Encargo figuran en el Anexo 2, y el Centro los autoriza.

8.2 Contratos con los Subencargados. Harnay recurre a cada Subencargado en virtud de un contrato escrito que impone obligaciones de protección de datos que ofrecen el mismo nivel de protección que este Acuerdo de Encargo, en particular garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas. Harnay sigue siendo plenamente responsable ante el Centro del cumplimiento de las obligaciones de cada Subencargado.

8.3 Cambios. Harnay informa al Centro con al menos 30 días de antelación antes de añadir o sustituir un Subencargado, por correo electrónico dirigido a los Administradores del Centro y mediante la actualización del Anexo 2. Cuando un cambio sea necesario con carácter urgente para mantener la seguridad o el funcionamiento del servicio, Harnay puede efectuarlo antes e informa al Centro lo antes posible, indicando sus motivos.

8.4 Oposición. El Centro puede oponerse a un nuevo Subencargado por escrito dirigido a privacy@harnay.com dentro de dicho plazo de preaviso, por motivos razonables relacionados con la protección de datos. Harnay examinará la oposición de buena fe y propondrá una solución cuando razonablemente exista una. Si las partes no pueden resolver la oposición, el Centro puede poner fin a las Condiciones para Centros Veterinarios cerrando el Centro antes de que el cambio surta efecto, y Harnay reembolsa la parte no utilizada de cualquier periodo de Suscripción pagado por anticipado.

9. DÓNDE SE TRATAN LOS REGISTROS DEL CENTRO

9.1 Almacenamiento en la Unión Europea. Harnay está establecida en Francia. Los Registros del Centro se almacenan en la Unión Europea, en Fráncfort (Alemania), donde funcionan la base de datos, el almacenamiento de archivos y las funciones de servidor de Harnay.

9.2 Tratamiento fuera de la Unión Europea. Algunos Subencargados tratan Registros del Centro fuera del Espacio Económico Europeo, como muestra el Anexo 2:

• (a) los Subencargados de conversión de voz a texto y de redacción con IA los tratan en los Estados Unidos;
• (b) el Subencargado de correo electrónico trata nombres, direcciones de correo electrónico y el contenido de las notificaciones en los Estados Unidos;
• (c) el Subencargado de vídeo, LiveKit, encamina el audio y el vídeo en directo de cada Consulta a través del servidor de LiveKit más cercano a cada Participante, que puede encontrarse fuera del Espacio Económico Europeo, y conserva los registros de sesión y los registros de actividad que guarda en la región de datos de su proyecto, los Estados Unidos;
• (d) el Subencargado de alojamiento, Vercel, está establecido en los Estados Unidos y sirve el Portal a través de su red mundial; y los Subencargados establecidos en los Estados Unidos, incluidos Supabase, Upstash y PostHog, pueden acceder desde allí a Registros del Centro almacenados en Fráncfort, por ejemplo para prestar soporte o mantenimiento a su servicio.

10. TRANSFERENCIAS INTERNACIONALES

10.1 Transferencias a Subencargados. Cuando un Subencargado trate Registros del Centro en un país situado fuera del Espacio Económico Europeo que no cuente con una decisión de adecuación de la Comisión Europea, o acceda a ellos desde dicho país, la transferencia está cubierta por el Marco de Privacidad de Datos UE-EE. UU. cuando el Subencargado esté certificado conforme a él y, en otro caso, por las cláusulas contractuales tipo de la Comisión Europea (Módulo 3, de encargado a encargado) incluidas en el contrato del Subencargado con Harnay, junto con cualesquiera medidas complementarias que exija la transferencia. El Anexo 2 indica la garantía aplicable a cada Subencargado.

10.2 Centros establecidos fuera del Espacio Económico Europeo. Harnay es un encargado del tratamiento establecido en la Unión Europea. Cuando el Centro esté establecido en un país situado fuera del Espacio Económico Europeo que no cuente con una decisión de adecuación de la Comisión Europea (en la fecha de este Acuerdo de Encargo, los Emiratos Árabes Unidos, Australia y Singapur, pero no Nueva Zelanda), y en la medida en que el RGPD lo exija, el Módulo 4 (de encargado a responsable) de las Cláusulas Contractuales Tipo se aplica a la transferencia de los Registros del Centro de Harnay al Centro y se incorpora a este Acuerdo de Encargo por remisión, con las siguientes opciones:

• (a) Harnay es el exportador de datos y el Centro es el importador de datos;
• (b) no se aplica la cláusula de incorporación opcional (cláusula 7);
• (c) cláusula 17: las cláusulas se rigen por la ley francesa;
• (d) cláusula 18: las controversias se resuelven ante los tribunales de Pontoise (Francia);
• (e) Anexo I.A: las partes son las indicadas en la cláusula 1.1, con las direcciones que allí figuran y en el Portal; el contacto del exportador de datos es Brahim Ouasti en privacy@harnay.com, y el contacto del Centro es el que consta en el Portal; el Anexo I.B es el Anexo 1 de este Acuerdo de Encargo.

10.3 Transferencias conforme a otras leyes. Cuando la Ley de Protección de Datos del país del Centro restrinja la transferencia de los Registros del Centro a Harnay en Francia o su transferencia ulterior a un Subencargado, las partes acuerdan que este Acuerdo de Encargo y, cuando proceda, las Cláusulas Contractuales Tipo constituyen la garantía contractual de dicha transferencia, y se aplica la cláusula 15.

11. SOLICITUDES DE LOS INTERESADOS

11.1 Asistencia. Teniendo en cuenta la naturaleza del tratamiento, Harnay asiste al Centro, mediante medidas técnicas y organizativas apropiadas y siempre que sea posible, para responder a las solicitudes de los interesados que tengan por objeto el ejercicio de sus derechos sobre los Registros del Centro. El Portal permite al Centro consultar, rectificar y exportar los Registros del Centro. Para todo aquello que el Portal no permita, el Centro puede escribir a privacy@harnay.com, y Harnay le ayudará sin dilación indebida.

11.2 Solicitudes dirigidas a Harnay. Si Harnay recibe de un interesado una solicitud relativa a Registros del Centro, la traslada al Centro sin dilación indebida y no la responde por sí misma, salvo para informar a la persona de que se ha trasladado o cuando la ley obligue a Harnay a responder. Una solicitud relativa a datos de los que Harnay es responsable del tratamiento, incluidas las Copias del Cliente, la responde Harnay conforme a su Política de Privacidad.

12. VIOLACIONES DE LA SEGURIDAD DE LOS DATOS PERSONALES

12.1 Notificación al Centro. Harnay notifica al Centro, sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tenga constancia de ella, cualquier violación de la seguridad de los datos personales que afecte a los Registros del Centro. La notificación se realiza por correo electrónico dirigido a los Administradores del Centro.

12.2 Contenido de la notificación. La notificación describe, en la medida en que Harnay lo sepa en ese momento: la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros afectados; sus consecuencias probables; las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos; y el punto de contacto para obtener más información. Cuando Harnay no pueda facilitar toda esta información a la vez, la facilita de manera gradual sin más dilación indebida.

12.3 Quién notifica a las autoridades y a las personas afectadas. El Centro, como responsable del tratamiento de los Registros del Centro, decide sobre cualquier notificación a su autoridad de control y a los interesados afectados y la realiza. Harnay facilita al Centro la información y la ayuda que razonablemente necesite para ello. Harnay no notifica a la autoridad de control del Centro ni a los clientes del Centro una violación de los Registros del Centro en nombre del Centro, salvo que el Centro se lo solicite o la ley lo exija. Cuando la misma violación afecte también a datos de los que Harnay es responsable del tratamiento, incluidas las Copias del Cliente, Harnay realiza sus propias notificaciones: a la CNIL sin dilación indebida y, cuando el RGPD exija la notificación, en un plazo de 72 horas desde que tenga constancia de la violación; a cualquier otra autoridad competente en el plazo que exija la legislación aplicable; y a las personas afectadas cuando la ley lo exija.

12.4 Contención. Harnay adopta medidas razonables para contener la violación, limitar sus efectos e impedir que vuelva a producirse. Una notificación conforme a esta cláusula no constituye un reconocimiento de culpa ni de responsabilidad.

13. CONSERVACIÓN, ELIMINACIÓN Y DEVOLUCIÓN

13.1 Conservación durante el servicio. Siguiendo la instrucción del Centro de la cláusula 4.1, Harnay elimina el contenido de cada Consulta (el cuestionario previo, los mensajes y archivos del chat, la transcripción y el informe) 5 años después de la última Consulta del Cliente con el Centro. El audio se elimina antes, según lo descrito en la cláusula 7.2. Los registros de Vetty Scribe (cláusula 3.1(d)) y los demás registros de clientes y pacientes del Centro se conservan mientras la cuenta del Centro esté abierta; el audio de Vetty Scribe se elimina antes, según lo descrito en la cláusula 7.11. El Centro puede solicitar a Harnay por escrito que elimine antes determinados Registros del Centro, y Harnay lo hará salvo que la ley le obligue a conservarlos; esto no afecta a las Copias del Cliente.

13.2 Devolución. Mientras el Centro esté abierto, un Administrador puede descargar en cualquier momento una exportación de los Registros del Centro desde los ajustes del centro: un archivo ZIP con los registros de consultas y los informes firmados, incluidos los de Vetty Scribe, las transcripciones en formato de texto y listas de las Consultas, clientes, pacientes y notas. No incluye el audio, porque se elimina una vez transcrito.

13.3 Al finalizar el servicio. Cuando el Centro se cierra, o las Condiciones para Centros Veterinarios terminan por cualquier otro motivo, la persona que cerró el Centro puede descargar la exportación durante 30 días. Al término de esos 30 días, Harnay elimina los Registros del Centro según lo descrito en la cláusula 16 de las Condiciones para Centros Veterinarios, salvo que el Derecho de la Unión Europea o de un Estado miembro obligue a Harnay a conservarlos. Al aceptar este Acuerdo de Encargo, el Centro elige esta combinación de devolución y eliminación. Las Copias del Cliente no son Registros del Centro y permanecen en la cuenta del Cliente hasta el final del plazo de la cláusula 13.1.

13.4 Copias de seguridad. Los datos eliminados permanecen en las copias de seguridad de Harnay hasta que se sobrescriben, lo que ocurre en un plazo de 30 días. Harnay no restaura datos eliminados a partir de las copias de seguridad salvo para recuperarse de un incidente.

13.5 Confirmación. A petición escrita del Centro, Harnay confirma por escrito que los Registros del Centro se han eliminado.

14. INFORMACIÓN Y AUDITORÍAS

14.1 Información. Harnay pone a disposición del Centro toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y de este Acuerdo de Encargo, empezando por este Acuerdo de Encargo y sus anexos y por sus respuestas escritas a las preguntas razonables del Centro.

14.2 Auditorías. Cuando dicha información no baste para demostrar el cumplimiento, o cuando una autoridad de control lo exija, Harnay permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Centro o de un auditor independiente autorizado por él, en las siguientes condiciones:

• (a) el Centro avisa por escrito con al menos 30 días de antelación y propone un alcance;
• (b) no se realiza más de una auditoría en cualquier periodo de 12 meses, salvo que una autoridad de control exija otra o se haya producido una violación de la seguridad de los datos personales de los Registros del Centro;
• (c) la auditoría se realiza en horario laboral, sin perturbar de forma injustificada las operaciones de Harnay, y se limita al tratamiento de los propios Registros del Centro;
• (d) el auditor está sujeto a confidencialidad, no es competidor de Harnay y no accede a datos de otros clientes ni a información cuya revelación comprometería la seguridad del servicio;
• (e) cada parte asume sus propios costes, y el Centro paga al auditor.

Harnay informa de inmediato al Centro si considera que una instrucción dada en el marco de una auditoría infringe las Leyes de Protección de Datos.

15. CONDICIONES ESPECÍFICAS POR PAÍS

15.1 Funcionamiento de esta cláusula. El resto de este Acuerdo de Encargo se aplica a todos los Centros. Esta cláusula añade lo que exige adicionalmente la Ley de Protección de Datos del país del Centro. Cada parte cumple las Leyes de Protección de Datos que le son aplicables.

15.2 Unión Europea. Para un Centro establecido en Chipre, España, Grecia, Italia o Portugal, este Acuerdo de Encargo es el contrato exigido por el artículo 28, apartado 3, del RGPD, y la autoridad de control del Centro es la autoridad de su propio Estado miembro. La autoridad de control principal de Harnay es la Commission nationale de l'informatique et des libertés (CNIL) francesa.

15.3 Emiratos Árabes Unidos. Para un Centro establecido en los Emiratos Árabes Unidos, fuera de las zonas francas financieras que tienen su propia legislación de protección de datos, Harnay actúa como encargado del tratamiento del Centro conforme a la PDPL de los EAU. Harnay trata los Registros del Centro únicamente siguiendo las instrucciones del Centro y para los fines del Anexo 1, aplica las medidas del Anexo 3, notifica al Centro las violaciones según lo descrito en la cláusula 12 y elimina los Registros del Centro según lo descrito en la cláusula 13. El Centro sigue siendo responsable de cualquier notificación a la Oficina de Datos de los EAU (UAE Data Office) y a los interesados, y de la licitud de la transferencia de los Registros del Centro a Harnay fuera de los Emiratos Árabes Unidos.

15.4 Singapur. Para un Centro de Singapur, Harnay actúa como intermediario de datos (data intermediary) del Centro conforme a la PDPA. El Responsable de Protección de Datos (Data Protection Officer) de Harnay a efectos de la PDPA es Brahim Ouasti, en privacy@harnay.com. Harnay protege los Registros del Centro mediante medidas de seguridad razonables, deja de conservarlos cuando ya no son necesarios para los fines del Anexo 1, según lo descrito en la cláusula 13, y notifica al Centro sin dilación indebida, y dentro de las 48 horas de la cláusula 12.1, cuando tenga motivos para creer que se ha producido una violación de datos en relación con ellos. El Centro sigue siendo responsable de evaluar si una violación es notificable y de notificarla a la Personal Data Protection Commission y a las personas afectadas en el plazo que exige la PDPA. A efectos de la Obligación de Limitación de Transferencias (Transfer Limitation Obligation), este Acuerdo de Encargo obliga a Harnay y, a través de sus contratos, a sus Subencargados, a otorgar a los Registros del Centro un nivel de protección comparable al de la PDPA.

15.5 Australia. Para un Centro de Australia que esté sujeto a la Privacy Act 1988, Harnay trata los Registros del Centro de forma coherente con los Australian Privacy Principles aplicables a su seguridad, uso, comunicación y comunicación al extranjero, y ayuda al Centro a evaluar una presunta violación de datos notificable (eligible data breach) conforme al régimen de notificación de violaciones de datos (Notifiable Data Breaches scheme) dentro de los 30 días que dicho régimen permite. El Centro sigue siendo responsable de la notificación a la Office of the Australian Information Commissioner y a las personas afectadas.

15.6 Nueva Zelanda. Para un Centro de Nueva Zelanda, Harnay conserva los Registros del Centro como agente (agent) del Centro a efectos del artículo 11 de la Privacy Act 2020, exclusivamente para prestar el servicio, y no los utiliza ni los comunica para sus propios fines. El Centro sigue siendo responsable de notificar una violación de la privacidad notificable al Privacy Commissioner y a las personas afectadas.

16. RESPONSABILIDAD

16.1 Se aplican las Condiciones para Centros Veterinarios. La responsabilidad de cada parte derivada de este Acuerdo de Encargo o relacionada con él, ya sea contractual, extracontractual o de otro tipo, está sujeta a las exclusiones y límites de la cláusula 21 de las Condiciones para Centros Veterinarios, y computa en el límite máximo único allí establecido. Este Acuerdo de Encargo no crea un segundo límite máximo.

16.2 Interesados y autoridades. Nada de lo dispuesto en este Acuerdo de Encargo limita la responsabilidad de ninguna de las partes frente a los interesados conforme al artículo 82 del RGPD o a las demás Leyes de Protección de Datos, ni los derechos de los interesados conforme a las Cláusulas Contractuales Tipo. Cada parte asume cualquier multa que le imponga una autoridad de control.

17. DURACIÓN, LEY APLICABLE Y MODIFICACIONES

17.1 Duración. Este Acuerdo de Encargo surte efecto cuando el Centro acepta las Condiciones para Centros Veterinarios y se mantiene mientras Harnay trate Registros del Centro. Las cláusulas 12, 13, 14 y 16 siguen vigentes mientras resulten pertinentes.

17.2 Ley aplicable y tribunales. Este Acuerdo de Encargo se rige por la ley francesa, y los tribunales de Pontoise (Francia) tienen competencia exclusiva, según lo previsto en la cláusula 24 de las Condiciones para Centros Veterinarios, salvo que las Cláusulas Contractuales Tipo dispongan otra cosa.

17.3 Modificaciones. Harnay puede modificar este Acuerdo de Encargo según lo descrito en la cláusula 23 de las Condiciones para Centros Veterinarios, con un preaviso de al menos 30 días en caso de modificación sustancial, salvo en el caso de una modificación del Anexo 2, que se rige por la cláusula 8.3. Ninguna modificación puede reducir la protección que este Acuerdo de Encargo otorga a los Registros del Centro por debajo de lo que exigen las Leyes de Protección de Datos.

18. CONTACTO

Brahim Ouasti EI, que opera bajo el nombre comercial Inumbra Labs
Empresario individual (entrepreneur individuel) inscrito en Francia (RNE), SIREN 538 543 034, número de IVA intracomunitario FR24538543034
Contacto de privacidad, protección de datos e incidentes: Brahim Ouasti, privacy@harnay.com

ANEXO 1. DETALLES DEL TRATAMIENTO

Objeto. El alojamiento y la gestión de los Registros del Centro para que el Centro pueda celebrar Consultas por vídeo con sus clientes a través de Harnay Pro, grabar sus consultas presenciales con Vetty Scribe, llevar sus registros de clientes y pacientes, y recibir borradores de informes de consulta para que sus Veterinarios los revisen y firmen.

Duración. Mientras el Centro utilice Harnay Pro y, después, hasta la eliminación descrita en la cláusula 13. El audio de una Consulta solo se conserva hasta su transcripción y, como máximo, 24 horas si la Consulta no se completa. El audio de una grabación de Vetty Scribe se conserva según lo descrito en la cláusula 7.11.

Naturaleza del tratamiento. Recogida, registro, almacenamiento, organización, transcripción mediante conversión de voz a texto, redacción automatizada mediante modelos de IA, visualización por los Miembros del Centro, transmisión de los informes firmados a los Clientes, exportación y eliminación. El audio y el vídeo en directo se transmiten pero no se almacenan, salvo el audio del micrófono de cada Participante, que se graba hasta su transcripción. Para Vetty Scribe: grabación en el navegador del Veterinario y carga, transcripción, extracción de los hechos clínicos, redacción, contraste con la transcripción, traducción o adaptación al estilo del Veterinario, edición, firma y gestión de versiones.

Finalidades. Prestar la Consulta y su chat; informar a cada Participante, antes de unirse, de que la Consulta se graba, y registrar cada incorporación; grabar, transcribir y redactar un informe para su revisión por el Veterinario, a partir de una Consulta o de una consulta presencial grabada con Vetty Scribe; entregar el informe firmado al Cliente; conservar, mostrar y exportar los registros de clientes y pacientes del Centro; y eliminarlos al final del plazo de conservación o del servicio.

Categorías de interesados.

• los clientes del Centro (propietarios de mascotas), incluidas las personas que añade o importa al Portal;
• los Invitados a los que un Cliente invita a una Consulta;
• cualquier persona cuya voz capte una grabación de Vetty Scribe, como el cliente y quien le acompañe;
• los Miembros del Centro, en la medida en que figuren en los Registros del Centro (por ejemplo, como autor o firmante de una nota o de un informe, o como voz en una grabación).

Los animales no son interesados, pero los datos relativos a ellos están vinculados a sus propietarios.

Categorías de datos personales.

• datos identificativos y de contacto de los clientes: nombre, dirección de correo electrónico, número de teléfono y direcciones postales cuando se faciliten;
• datos del paciente vinculados al cliente: nombre, especie, raza, fecha de nacimiento, sexo, estado de esterilización, peso, número de microchip, fotografía, alergias, medicación, enfermedades crónicas y antecedentes del animal;
• respuestas al cuestionario previo y archivos adjuntos (imágenes);
• mensajes y archivos del chat (imágenes y documentos PDF);
• el audio del micrófono de cada Participante, su nombre tal como se muestra en la llamada, y el registro de la incorporación de cada Participante, con su momento y la versión del aviso de grabación mostrado;
• la transcripción, con los interlocutores identificados por su función;
• el borrador y el informe firmado, las notas del Veterinario y las notas del Centro;
• los archivos que el Centro añade a las citas;
• para Vetty Scribe: el audio de la consulta y todo lo que se dice en ella; la confirmación de que el cliente dio su consentimiento, con su momento; la transcripción y el resultado sin procesar de la conversión de voz a texto; los hechos extraídos; el borrador y el informe firmado, con sus versiones, su registro de auditoría y la firma del Veterinario.

Categorías especiales. Los Registros del Centro no están destinados a contener categorías especiales de datos personales. Una Consulta puede revelar algunas de forma incidental, por ejemplo un dato sobre la salud de un Cliente mencionado durante la llamada, y Harnay les aplica las mismas medidas. Harnay no utiliza las voces para identificar a nadie.

Frecuencia. Continua, mientras el Centro utilice Harnay Pro.

Autoridad de control competente para Harnay. La Commission nationale de l'informatique et des libertés (CNIL), Francia.

ANEXO 2. SUBENCARGADOS

Estos Subencargados tratan Registros del Centro para Harnay Pro en la fecha de este Acuerdo de Encargo. Se recurre a cada uno de ellos conforme a la cláusula 8. En la última columna, «DPF o CCT» («DPF or SCCs») significa el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework) cuando el Subencargado esté certificado conforme a él y, en otro caso, las cláusulas contractuales tipo (Módulo 3), según lo descrito en la cláusula 10.1.

Stripe no es un Subencargado conforme a este Acuerdo de Encargo. El Centro contrata directamente con Stripe su Cuenta de Stripe, y el uso propio por Harnay de los datos de Stripe está cubierto por su Política de Privacidad.

ANEXO 3. MEDIDAS TÉCNICAS Y ORGANIZATIVAS

Ubicación y alojamiento. Los Registros del Centro se almacenan en la Unión Europea, en Fráncfort (Alemania), con un proveedor de alojamiento consolidado cuyo almacenamiento está cifrado en reposo.

Cifrado en tránsito. Todo el tráfico hacia harnay.com y pro.harnay.com se sirve mediante HTTPS, y se indica a los navegadores que utilicen únicamente HTTPS (HTTP Strict Transport Security). El vídeo y el audio se transmiten mediante conexiones WebRTC cifradas.

Control de acceso. Las reglas de acceso a la base de datos limitan a cada usuario a los datos de su propio Centro o de su propia cuenta, y a cada nueva tabla y función se le otorgan derechos de acceso explícitos. Los Registros del Centro se conservan en almacenamiento privado. El acceso de un Miembro a los Registros del Centro finaliza de inmediato cuando se le da de baja o abandona el Centro. Los Administradores controlan quién pertenece al Centro y con qué función.

Audio de las consultas. El audio se conserva en un espacio de almacenamiento privado independiente al que no puede acceder ninguna cuenta de usuario, solo los servidores de Harnay. Cada credencial de carga se limita a un único archivo y caduca al cabo de 6 horas. El audio se elimina una vez almacenada la transcripción, y el nombre del Participante se borra entonces del registro de la grabación. El vídeo y la pantalla compartida nunca se graban.

Vetty Scribe. Una grabación no puede comenzar sin la confirmación del Veterinario de que el cliente dio su consentimiento, y un informe no puede firmarse sin ella. El audio de Vetty Scribe, las muestras de voz y las exportaciones se conservan en almacenamiento privado y solo se accede a ellos mediante solicitudes autenticadas. Una consulta de Vetty Scribe solo es visible para el Veterinario que la grabó y para los Administradores del Centro. El proveedor de conversión de voz a texto recibe el audio mediante un enlace firmado que caduca al cabo de una hora. Cada informe conserva sus versiones y un registro de auditoría de los eventos de la consulta, incluidas la firma y la modificación. El audio se guarda en el almacenamiento del navegador del dispositivo de grabación antes de cargarse, de modo que una pérdida de conexión no haga perder una consulta.

Archivos. Se accede a los archivos mediante enlaces firmados que caducan al cabo de 6 horas, o mediante solicitudes autenticadas a los servidores de Harnay. Las exportaciones solo se descargan mediante una solicitud autenticada, nunca mediante un enlace público. El tipo de cada archivo cargado se comprueba a partir de su contenido, y los tamaños están limitados.

Autenticación. Cada dirección de correo electrónico se confirma con un código de un solo uso antes de utilizarse. Las contraseñas deben tener al menos 8 caracteres y el servicio de autenticación las almacena en forma de hash. Los Miembros pueden iniciar sesión con Google en su lugar. El registro y otras solicitudes sensibles están sujetos a limitación de frecuencia.

Acceso de los operadores. La consola de operadores de Harnay solo puede utilizarse mediante cuentas de operador nominativas que Harnay haya autorizado, y cada actuación de un operador se anota en un registro de auditoría.

Datos de pago. Los datos de las tarjetas los recoge y conserva Stripe y nunca llegan a los servidores de Harnay.

Minimización y conservación de datos. El audio de las consultas se elimina una vez transcrito, y el audio de Vetty Scribe según lo descrito en la cláusula 7.11. Las muestras de redacción se desidentifican antes de almacenarse. La copia de cada transcripción del proveedor de conversión de voz a texto se elimina una vez recuperada. El contenido de las consultas se elimina 5 años después de la última Consulta del Cliente con el Centro, y los Registros del Centro 30 días después del cierre del Centro, según lo descrito en la cláusula 13. Las copias de seguridad se sobrescriben en un plazo de 30 días.

Subencargados. Se recurre a cada Subencargado en virtud de un contrato escrito con obligaciones de protección de datos, y ninguno puede entrenar modelos de IA con los Registros del Centro.

Personas. Toda persona a la que Harnay autoriza a tratar Registros del Centro está sujeta a confidencialidad. Brahim Ouasti es responsable de la protección de datos y de la gestión de incidentes.