Tratamiento de datos y cumplimiento

Partes y objeto

El negocio que contrata MINGU es el responsable del tratamiento de los datos de sus clientes, pacientes, alumnos, jugadores y equipo. MINGU es el encargado del tratamiento:

Contacto

hola@mingu.es

El objeto del encargo es prestar el servicio MINGU descrito en los términos y condiciones. Dura lo mismo que el contrato del servicio y, después, lo necesario para devolver o suprimir los datos según el apartado de fin del encargo.

Naturaleza, finalidad y datos tratados

MINGU aloja, organiza, conserva, consulta, muestra, envía y suprime los datos con la única finalidad de prestar el servicio al negocio. Los datos y personas afectadas dependen de las funciones que el negocio active:

Personas afectadas: clientes, pacientes, alumnos, jugadores y participantes del negocio; sus padres, madres o tutores legales cuando son menores; el equipo del negocio; y las personas de contacto de mutuas y aseguradoras.

Obligaciones de MINGU

Como encargado, MINGU se compromete a:

• Tratar los datos solo siguiendo las instrucciones documentadas del negocio: este contrato y la configuración y uso que el negocio hace del panel. Si una instrucción nos parece contraria a la normativa, se lo diremos.
• No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados o cuando lo exija la ley.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a mantener la confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 del RGPD descritas en esta página.
• Ayudar al negocio a atender los derechos de las personas afectadas, con las herramientas del panel y, si hace falta, de forma directa. Si una persona nos pide ejercer un derecho sobre datos del negocio, se lo trasladaremos sin dilación.
• Ayudar al negocio en la seguridad del tratamiento, la notificación de brechas, las evaluaciones de impacto y las consultas previas a la autoridad, según la información de que dispongamos.
• Llevar el registro de actividades de tratamiento que hacemos como encargado.
• Poner a disposición del negocio la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías, según el apartado correspondiente.

Subencargados

El negocio autoriza de forma general a MINGU a recurrir a los proveedores de esta lista. MINGU les impone por contrato obligaciones de protección de datos equivalentes a las de este encargo y responde de su cumplimiento.

Si añadimos o sustituimos un proveedor, avisaremos a los negocios por correo o en el panel con al menos 15 días de antelación. El negocio puede oponerse de forma razonada en ese plazo; si no encontramos una solución, podrá cancelar el servicio sin penalización.

Cuando un proveedor trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en las cláusulas contractuales tipo de la Comisión Europea y, si el proveedor está adherido, en el Marco de Privacidad de Datos UE-EE. UU.

Medidas de seguridad

• Cifrado de las conexiones en todo el servicio y de las copias de seguridad antes de salir de nuestros sistemas.
• Separación entre negocios en la propia base de datos: cada consulta comprueba a qué negocio pertenece la persona y qué puede ver.
• Roles dentro de cada negocio (propietario, gestor, equipo) y permisos específicos para la historia clínica.
• Archivos privados (documentos, fotos de progreso, adjuntos) que solo se abren con enlaces temporales para quien tiene permiso.
• Contraseñas cifradas de forma irreversible y verificación en dos pasos disponible para el panel.
• Registros de actividad para investigar accesos indebidos.
• Copias de seguridad diarias, cifradas y comprobadas, que se renuevan en unos 30 días.
• Acceso del personal de MINGU limitado a lo imprescindible para el soporte y la seguridad, y registrado.

Revisamos estas medidas cuando cambia el servicio o el riesgo.

Brechas de seguridad

Si MINGU detecta una brecha que afecte a datos del negocio, se lo comunicará sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga constancia, con la información disponible: qué ha pasado, qué datos y personas pueden estar afectados, las consecuencias probables y las medidas adoptadas o propuestas. Corresponde al negocio, como responsable, notificar a la autoridad y a las personas afectadas cuando proceda; MINGU le ayudará a hacerlo.

Datos de salud

Los negocios de salud, como fisioterapia o nutrición clínica, pueden registrar en MINGU la historia clínica y otros datos de salud. Para estos datos:

• La base legal y el deber de secreto son del negocio y de sus profesionales, normalmente la asistencia sanitaria (art. 9.2.h RGPD).
• Solo los ve el personal del negocio con permiso clínico. MINGU AI no tiene acceso a ellos.
• Los consentimientos informados se firman en MINGU y quedan guardados con la fecha, el canal y, si es un menor, el tutor que firma.
• Los recordatorios por email incluyen solo el negocio, la fecha, la hora y el tipo de visita.
• Las videoconsultas se hacen con Jitsi Meet en una sala con un enlace único; MINGU no las graba.
• El negocio debe conservar la historia clínica el tiempo que exija la ley (en general, al menos cinco años desde cada alta; en Cataluña, quince años) y exportarla antes de cerrar su cuenta.

MINGU AI

MINGU AI es opcional y el negocio puede desactivar el asistente de sus clientes desde la configuración. El asistente del panel recibe solo datos de funcionamiento (clases, servicios, horarios, tarifas y cifras agregadas); no recibe la lista de clientes, los historiales clínicos ni los mensajes, y los nombres se retiran de los informes antes de enviarlos al modelo. Ninguna acción propuesta se ejecuta sin la confirmación de una persona.

Menores de edad

Si el negocio tiene clientes menores de 14 años, debe obtener el consentimiento de sus padres, madres o tutores legales antes de tratar sus datos. MINGU permite registrar el tutor en los consentimientos firmados, pero no verifica la edad ni la identidad de quien firma: esa comprobación corresponde al negocio.

Obligaciones del negocio

• Tener una base legal para cada tratamiento e informar a las personas afectadas, con su propia información de privacidad.
• Dar instrucciones conformes con la normativa y configurar con cuidado los accesos de su equipo.
• Obtener los consentimientos que correspondan, como los de menores y comunicaciones comerciales.
• Hacer la evaluación de impacto cuando sea obligatoria, por ejemplo al tratar datos de salud a gran escala.
• Atender los derechos de las personas afectadas y supervisar el cumplimiento de este contrato.

Fin del encargo

Al terminar el servicio, el negocio puede pedir a MINGU una copia de sus datos en un formato estructurado de uso común y el cierre del negocio. Tras el cierre, MINGU suprime los datos de sus sistemas activos y de las copias de seguridad en el plazo de renovación de estas, unos 30 días. MINGU solo conservará, bloqueados, los datos que una ley le obligue a mantener.

Si la suscripción termina y el negocio no indica nada, conservamos los datos para permitirle reactivar la cuenta, y podemos suprimirlos pasados 90 días desde el fin del servicio, avisando antes al negocio.

Demostración del cumplimiento y auditorías

MINGU facilitará al negocio, cuando lo pida por escrito, la información necesaria para demostrar el cumplimiento de este contrato. El negocio puede realizar o encargar una auditoría con un preaviso razonable, a su cargo, como máximo una vez al año salvo que haya una brecha o lo pida una autoridad, y sin acceder a datos de otros negocios.

Contacto

Para cualquier cuestión sobre protección de datos, solicitudes de información o auditorías, escribe a hola@mingu.es.