Tractament de dades i compliment

Parts i objecte

El negoci que contracta MINGU és el responsable del tractament de les dades dels seus clients, pacients, alumnes, jugadors i equip. MINGU és l’encarregat del tractament:

Contacte

hola@mingu.es

L’objecte de l’encàrrec és prestar el servei MINGU descrit als termes i condicions. Dura el mateix que el contracte del servei i, després, el que calgui per retornar o suprimir les dades segons l’apartat de fi de l’encàrrec.

Naturalesa, finalitat i dades tractades

MINGU allotja, organitza, conserva, consulta, mostra, envia i suprimeix les dades amb l’única finalitat de prestar el servei al negoci. Les dades i persones afectades depenen de les funcions que el negoci activi:

Persones afectades: clients, pacients, alumnes, jugadors i participants del negoci; els seus pares, mares o tutors legals quan són menors; l’equip del negoci; i les persones de contacte de mútues i asseguradores.

Obligacions de MINGU

Com a encarregat, MINGU es compromet a:

• Tractar les dades només seguint les instruccions documentades del negoci: aquest contracte i la configuració i l’ús que el negoci fa del panell. Si una instrucció ens sembla contrària a la normativa, li ho direm.
• No fer servir les dades per a finalitats pròpies ni comunicar-les a tercers, llevat dels subencarregats autoritzats o quan ho exigeixi la llei.
• Garantir que les persones autoritzades a tractar les dades s’han compromès a mantenir-ne la confidencialitat.
• Aplicar les mesures de seguretat de l’article 32 del RGPD descrites en aquesta pàgina.
• Ajudar el negoci a atendre els drets de les persones afectades, amb les eines del panell i, si cal, de manera directa. Si una persona ens demana exercir un dret sobre dades del negoci, l’hi traslladarem sense dilació.
• Ajudar el negoci en la seguretat del tractament, la notificació de bretxes, les avaluacions d’impacte i les consultes prèvies a l’autoritat, segons la informació de què disposem.
• Portar el registre d’activitats de tractament que fem com a encarregat.
• Posar a disposició del negoci la informació necessària per demostrar el compliment d’aquest contracte i permetre auditories, segons l’apartat corresponent.

Subencarregats

El negoci autoritza de manera general MINGU a recórrer als proveïdors d’aquesta llista. MINGU els imposa per contracte obligacions de protecció de dades equivalents a les d’aquest encàrrec i respon del seu compliment.

Si afegim o substituïm un proveïdor, avisarem els negocis per correu o al panell amb almenys 15 dies d’antelació. El negoci s’hi pot oposar de manera raonada en aquest termini; si no trobem una solució, podrà cancel·lar el servei sense penalització.

Quan un proveïdor tracta dades fora de l’Espai Econòmic Europeu, la transferència s’empara en les clàusules contractuals tipus de la Comissió Europea i, si el proveïdor hi està adherit, en el Marc de Privacitat de Dades UE-EUA.

Mesures de seguretat

• Xifratge de les connexions a tot el servei i de les còpies de seguretat abans de sortir dels nostres sistemes.
• Separació entre negocis a la mateixa base de dades: cada consulta comprova a quin negoci pertany la persona i què pot veure.
• Rols dins de cada negoci (propietari, gestor, equip) i permisos específics per a la història clínica.
• Arxius privats (documents, fotos de progrés, adjunts) que només s’obren amb enllaços temporals per a qui té permís.
• Contrasenyes xifrades de manera irreversible i verificació en dos passos disponible per al panell.
• Registres d’activitat per investigar accessos indeguts.
• Còpies de seguretat diàries, xifrades i comprovades, que es renoven en uns 30 dies.
• Accés del personal de MINGU limitat al que és imprescindible per al suport i la seguretat, i registrat.

Revisem aquestes mesures quan canvia el servei o el risc.

Bretxes de seguretat

Si MINGU detecta una bretxa que afecti dades del negoci, l’hi comunicarà sense dilació indeguda i, en tot cas, en un termini màxim de 48 hores des que en tingui constància, amb la informació disponible: què ha passat, quines dades i persones poden estar afectades, les conseqüències probables i les mesures adoptades o proposades. Correspon al negoci, com a responsable, notificar-ho a l’autoritat i a les persones afectades quan escaigui; MINGU l’ajudarà a fer-ho.

Dades de salut

Els negocis de salut, com fisioteràpia o nutrició clínica, poden registrar a MINGU la història clínica i altres dades de salut. Per a aquestes dades:

• La base legal i el deure de secret són del negoci i dels seus professionals, normalment l’assistència sanitària (art. 9.2.h RGPD).
• Només les veu el personal del negoci amb permís clínic. MINGU AI no hi té accés.
• Els consentiments informats se signen a MINGU i queden guardats amb la data, el canal i, si és un menor, el tutor que signa.
• Els recordatoris per email inclouen només el negoci, la data, l’hora i el tipus de visita.
• Les videoconsultes es fan amb Jitsi Meet en una sala amb un enllaç únic; MINGU no les grava.
• El negoci ha de conservar la història clínica el temps que exigeixi la llei (a Catalunya, quinze anys des de l’alta de cada procés assistencial; a la resta d’Espanya, en general, almenys cinc anys) i exportar-la abans de tancar el seu compte.

MINGU AI

MINGU AI és opcional i el negoci pot desactivar l’assistent dels seus clients des de la configuració. L’assistent del panell rep només dades de funcionament (classes, serveis, horaris, tarifes i xifres agregades); no rep la llista de clients, els historials clínics ni els missatges, i els noms es retiren dels informes abans d’enviar-los al model. Cap acció proposada s’executa sense la confirmació d’una persona.

Menors d’edat

Si el negoci té clients menors de 14 anys, ha d’obtenir el consentiment dels seus pares, mares o tutors legals abans de tractar-ne les dades. MINGU permet registrar el tutor als consentiments signats, però no verifica l’edat ni la identitat de qui signa: aquesta comprovació correspon al negoci.

Obligacions del negoci

• Tenir una base legal per a cada tractament i informar les persones afectades, amb la seva pròpia informació de privacitat.
• Donar instruccions conformes a la normativa i configurar amb cura els accessos del seu equip.
• Obtenir els consentiments que corresponguin, com els de menors i comunicacions comercials.
• Fer l’avaluació d’impacte quan sigui obligatòria, per exemple en tractar dades de salut a gran escala.
• Atendre els drets de les persones afectades i supervisar el compliment d’aquest contracte.

Fi de l’encàrrec

En acabar el servei, el negoci pot demanar a MINGU una còpia de les seves dades en un format estructurat d’ús comú i el tancament del negoci. Després del tancament, MINGU suprimeix les dades dels seus sistemes actius i de les còpies de seguretat en el termini de renovació d’aquestes, uns 30 dies. MINGU només conservarà, bloquejades, les dades que una llei l’obligui a mantenir.

Si la subscripció acaba i el negoci no indica res, conservem les dades per permetre-li reactivar el compte, i les podem suprimir passats 90 dies des de la fi del servei, avisant abans el negoci.

Demostració del compliment i auditories

MINGU facilitarà al negoci, quan ho demani per escrit, la informació necessària per demostrar el compliment d’aquest contracte. El negoci pot fer o encarregar una auditoria amb un preavís raonable, al seu càrrec, com a màxim un cop l’any llevat que hi hagi una bretxa o ho demani una autoritat, i sense accedir a dades d’altres negocis.

Contacte

Per a qualsevol qüestió sobre protecció de dades, sol·licituds d’informació o auditories, escriu a hola@mingu.es.