Legal

Data Processing Agreement

Last updated: September 2026

1. Parties

This Data Processing Agreement ("DPA") is entered into between the Client (Data Controller) and KonzeptWeber LLC, 30 N Gould St Ste N, Sheridan WY 82801, USA, operating as Yachay Systems (Data Processor).

Contact for data protection matters: info@yachay.systems

2. Subject Matter and Duration

This DPA governs the processing of personal data by the Processor on behalf of the Controller in connection with the provision of AI-powered communication and scheduling services. The DPA applies for the duration of the service agreement and ends upon deletion or return of all personal data.

3. Nature and Purpose of Processing

The Processor operates AI communication agents on behalf of the Controller. Processing includes:

Receiving and responding to messages from the Controller's customers via WhatsApp, webchat, Instagram, Facebook Messenger, or Telegram
AI-assisted language processing of message content to generate responses
Appointment scheduling and calendar management
Storage of conversation histories for the Controller's review via admin dashboard
Sending transactional notifications (e.g. appointment confirmations) on behalf of the Controller
For physiotherapy customers: checking prescription photos submitted by patients with an AI image model (verdict: prescription yes/no, legible yes/no) and storing them in the dashboard for review by the Controller
For physiotherapy customers: transcribing treatment notes dictated by the Controller's practitioners and generating a structured draft of the note with a language model; the draft becomes part of the treatment record only after the practitioner confirms it

4. Types of Personal Data

The following categories of personal data may be processed:

Names and contact details (phone numbers, email addresses)
Messaging platform identifiers
Appointment and scheduling data
Content of messages and conversations
Conversation metadata (timestamps, channel, session identifiers)
Prescription data (diagnosis or ICD-10 code, prescribed remedy, number and frequency of treatments, date of issue) and photos of prescriptions (physiotherapy)
Treatment documentation: transcripts of dictated notes and structured drafts (physiotherapy). Voice recordings are processed transiently for transcription and are not stored

Special categories (Art. 9 GDPR): For healthcare verticals (e.g. physiotherapy), message content may include health-related information voluntarily provided by data subjects (e.g. symptoms, complaints, health insurance information), and prescription data and treatment documentation contain diagnoses and treatment details. The Controller is responsible for ensuring a valid legal basis under Art. 9(2) GDPR for the processing of such data.

5. Categories of Data Subjects

Customers, patients, or clients of the Controller
Prospective customers who initiate contact via messaging channels
Employees and practitioners of the Controller (dashboard use; voice and authorship of dictated treatment notes)

6. Obligations of the Processor

The Processor shall:

Process personal data only on documented instructions from the Controller, including with regard to transfers to third countries (Art. 28(3)(a) GDPR)
Ensure that all persons authorized to process personal data are bound by confidentiality obligations (Art. 28(3)(b) GDPR)
Implement appropriate technical and organizational measures as described in Section 7 (Art. 28(3)(c) GDPR)
Comply with the conditions for engaging subprocessors as set out in Section 8 (Art. 28(3)(d) GDPR)
Assist the Controller in responding to requests from data subjects exercising their rights under Chapter III GDPR (Art. 28(3)(e) GDPR)
Assist the Controller in ensuring compliance with obligations under Articles 32 to 36 GDPR, including breach notification and data protection impact assessments (Art. 28(3)(f) GDPR)
Delete or return all personal data upon termination as described in Section 11 (Art. 28(3)(g) GDPR)
Make available all information necessary to demonstrate compliance and allow for audits as described in Section 10 (Art. 28(3)(h) GDPR)

Professional secrecy: Where the Controller is subject to professional secrecy (e.g. Section 203 of the German Criminal Code), the Processor and its personnel act as persons assisting the Controller's professional activity. The Processor obligates its personnel to secrecy accordingly, engages subprocessors with access to such data only under equivalent obligations, and informs the Controller before involving further persons where required.

7. Technical and Organizational Measures

The Processor implements the following measures to ensure an appropriate level of security (Art. 32 GDPR):

Encryption in transit: TLS 1.2+ for all connections, HSTS with 1-year max-age
Encryption at rest: Backups encrypted with AES-256 (age). Server hosted in Germany (Hetzner Online GmbH, Nuremberg/Falkenstein)
Access control: SSH key-only authentication, root login disabled, fail2ban intrusion prevention, dual-layer admin authentication (reverse proxy + application API key)
Tenant isolation: Strict per-tenant data separation via tenant_id filtering on all database operations
Container isolation: All application services run as non-root users in isolated containers with resource limits
Monitoring: Automated health checks (5-minute cycle), error spike detection, instant alerting
Backup: Daily encrypted backups with 14-day retention, off-site encrypted copy on physical media in Germany
Input validation: XSS escaping, SQL injection prevention (parameterized queries), SSRF protection, CORS with explicit origins

A detailed description of all technical and organizational measures is available upon request.

8. Subprocessors

The Controller grants the Processor general authorization to engage subprocessors for the services described in this DPA. The following subprocessors are currently engaged:

Provider	Purpose	Location
Hetzner Online GmbH	Server hosting and infrastructure	Germany
Meta Platforms Ireland Ltd.	WhatsApp Business API, Instagram, Facebook Messenger	Ireland (EU)
OpenAI LLC	AI language processing, speech-to-text transcription of dictated notes, image check of prescription photos	USA (DPF)
Google LLC	AI language processing (Gemini)	USA (DPF)
Anthropic PBC	AI language processing	USA (DPF)
Resend Inc.	Transactional email delivery	USA (DPF)
Telegram Messenger Inc.	Telegram Bot API (optional)	UAE (SCCs)

The Processor shall inform the Controller of any intended addition or replacement of subprocessors at least 14 days in advance, giving the Controller the opportunity to object. If the Controller raises a justified objection, the Processor shall refrain from engaging the subprocessor or offer the Controller the right to terminate the service agreement.

The Processor ensures that subprocessors are bound by data protection obligations no less protective than those in this DPA.

9. International Data Transfers

Personal data is primarily stored and processed on servers located in Germany (EU). Where personal data is transferred to subprocessors outside the EU/EEA, the following safeguards apply:

USA: EU-U.S. Data Privacy Framework (DPF) certification of the recipient, supplemented by Standard Contractual Clauses (SCCs) where applicable
Other third countries: Standard Contractual Clauses (SCCs) pursuant to Commission Implementing Decision (EU) 2021/914

AI language processing providers are used under API terms that prohibit the use of input data for model training (zero-retention or zero-training policies).

10. Audits

The Processor shall make available to the Controller all information necessary to demonstrate compliance with the obligations laid down in Art. 28 GDPR (Art. 28(3)(h) GDPR). The Processor shall allow for and contribute to audits, including inspections, conducted by the Controller or an auditor mandated by the Controller. Such audits shall be conducted with reasonable prior notice (at least 14 days) and during normal business hours, and shall not unreasonably interfere with the Processor's operations.

11. Data Retention and Deletion

Personal data is stored for the duration of the service agreement. Upon termination:

The Controller may request export of all personal data in a machine-readable format (JSON/CSV) within 30 days of termination.
After the export period (or immediately upon request if no export is needed), all personal data will be permanently deleted from active systems within 14 days.
Data in encrypted backups will be removed through regular backup rotation (maximum 14 days after deletion from active systems).

Data that the Controller must keep under statutory retention obligations (e.g. treatment records and prescription data under Section 630f of the German Civil Code, 10 years) is included in the export under item 1. Retention beyond termination is the Controller's responsibility; the Processor does not keep such data after the deletion under item 2.

For trial accounts that are not converted to a paid subscription, all data is automatically deleted 33 days after trial expiration.

12. Breach Notification

The Processor shall notify the Controller without undue delay (and in any event within 48 hours) after becoming aware of a personal data breach affecting the Controller's data. The notification shall include:

The nature of the breach, including the categories and approximate number of data subjects and records concerned
The likely consequences of the breach
The measures taken or proposed to address the breach

The Controller remains responsible for determining whether notification to the supervisory authority (Art. 33 GDPR) or to data subjects (Art. 34 GDPR) is required.

13. Governing Law

This DPA is governed by the General Data Protection Regulation (EU) 2016/679 and, where applicable, the national data protection laws of the Controller's country of establishment.

Rechtliches

Auftragsverarbeitungsvertrag

Stand: September 2026

1. Vertragsparteien

Dieser Auftragsverarbeitungsvertrag ("AVV") wird geschlossen zwischen dem Kunden (Verantwortlicher) und KonzeptWeber LLC, 30 N Gould St Ste N, Sheridan WY 82801, USA, handelnd als Yachay Systems (Auftragsverarbeiter).

Ansprechpartner Datenschutz: info@yachay.systems

2. Gegenstand und Laufzeit

Dieser AVV regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung KI-gestützter Kommunikations- und Terminplanungsdienste. Der AVV gilt für die Dauer des Dienstleistungsvertrags und endet mit der Löschung oder Rückgabe aller personenbezogenen Daten.

3. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter betreibt KI-Kommunikationsagenten im Auftrag des Verantwortlichen. Die Verarbeitung umfasst:

Empfang und Beantwortung von Nachrichten der Kunden des Verantwortlichen über WhatsApp, Webchat, Instagram, Facebook Messenger oder Telegram
KI-gestützte Sprachverarbeitung von Nachrichteninhalten zur Generierung von Antworten
Terminplanung und Kalenderverwaltung
Speicherung von Konversationsverläufen zur Einsicht durch den Verantwortlichen über das Admin-Dashboard
Versand von Transaktionsbenachrichtigungen (z.B. Terminbestätigungen) im Auftrag des Verantwortlichen
Bei Physiotherapie-Kunden: Prüfung von Verordnungsfotos, die Patientinnen und Patienten einreichen, durch ein KI-Bildmodell (Urteil: Verordnung ja/nein, lesbar ja/nein) und Speicherung im Dashboard zur Sichtung durch den Verantwortlichen
Bei Physiotherapie-Kunden: Transkription von Behandlungsnotizen, die Behandlerinnen und Behandler des Verantwortlichen diktieren, und Erzeugung eines strukturierten Entwurfs der Notiz durch ein Sprachmodell; der Entwurf wird erst nach Bestätigung durch die Behandlerin oder den Behandler Teil der Behandlungsdokumentation

4. Arten personenbezogener Daten

Folgende Kategorien personenbezogener Daten können verarbeitet werden:

Namen und Kontaktdaten (Telefonnummern, E-Mail-Adressen)
Messaging-Plattform-Kennungen
Termin- und Buchungsdaten
Inhalte von Nachrichten und Konversationen
Konversations-Metadaten (Zeitstempel, Kanal, Sitzungskennungen)
Verordnungsdaten (Diagnose bzw. ICD-10-Code, verordnetes Heilmittel, Anzahl und Frequenz der Behandlungen, Ausstellungsdatum) und Fotos von Verordnungen (Physiotherapie)
Behandlungsdokumentation: Transkripte diktierter Notizen und strukturierte Entwürfe (Physiotherapie). Sprachaufnahmen werden nur flüchtig zur Transkription verarbeitet und nicht gespeichert

Besondere Kategorien (Art. 9 DSGVO): Bei Gesundheitsdienstleistern (z.B. Physiotherapie) können Nachrichteninhalte gesundheitsbezogene Informationen enthalten, die von betroffenen Personen freiwillig mitgeteilt werden (z.B. Symptome, Beschwerden, Krankenkasseninformationen); Verordnungsdaten und Behandlungsdokumentation enthalten Diagnosen und Behandlungsangaben. Der Verantwortliche ist dafür zuständig, eine gültige Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO für die Verarbeitung solcher Daten sicherzustellen.

5. Kategorien betroffener Personen

Kunden, Patienten oder Klienten des Verantwortlichen
Interessenten, die über Messaging-Kanäle Kontakt aufnehmen
Mitarbeitende sowie Behandlerinnen und Behandler des Verantwortlichen (Dashboard-Nutzung; Stimme und Urheberschaft diktierter Behandlungsnotizen)

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch in Bezug auf Übermittlungen in Drittländer (Art. 28 Abs. 3 lit. a DSGVO)
Sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO)
Geeignete technische und organisatorische Massnahmen gemäß Abschnitt 7 umzusetzen (Art. 28 Abs. 3 lit. c DSGVO)
Die Bedingungen für den Einsatz von Unterauftragsverarbeitern gemäß Abschnitt 8 einzuhalten (Art. 28 Abs. 3 lit. d DSGVO)
Den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO)
Den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen, einschliesslich Meldung von Datenpannen und Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 lit. f DSGVO)
Nach Beendigung alle personenbezogenen Daten zu löschen oder zurückzugeben gemäß Abschnitt 11 (Art. 28 Abs. 3 lit. g DSGVO)
Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung zu stellen und Überprüfungen zu ermöglichen gemäß Abschnitt 10 (Art. 28 Abs. 3 lit. h DSGVO)

Berufsgeheimnis: Unterliegt der Verantwortliche einer Schweigepflicht (z.B. § 203 StGB), sind der Auftragsverarbeiter und sein Personal als mitwirkende Personen im Sinne von § 203 Abs. 3 StGB tätig. Der Auftragsverarbeiter verpflichtet sein Personal entsprechend zur Geheimhaltung, setzt Unterauftragsverarbeiter mit Zugang zu solchen Daten nur unter gleichwertigen Pflichten ein und informiert den Verantwortlichen, soweit erforderlich, vor der Einbindung weiterer Personen.

7. Technische und organisatorische Massnahmen

Der Auftragsverarbeiter setzt folgende Massnahmen um, um ein angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO):

Transportverschlüsselung: TLS 1.2+ für alle Verbindungen, HSTS mit 1 Jahr max-age
Verschlüsselung ruhender Daten: Backups verschlüsselt mit AES-256 (age). Server in Deutschland (Hetzner Online GmbH, Nürnberg/Falkenstein)
Zugangskontrolle: SSH nur mit Schlüssel-Authentifizierung, Root-Login deaktiviert, fail2ban Brute-Force-Schutz, doppelte Admin-Authentifizierung (Reverse-Proxy + Anwendungs-API-Schlüssel)
Mandantentrennung: Strikte Datentrennung pro Mandant durch tenant_id-Filter auf allen Datenbankoperationen
Container-Isolation: Alle Dienste laufen als Nicht-Root-Benutzer in isolierten Containern mit Ressourcenlimits
Monitoring: Automatische Gesundheitsprüfungen (5-Minuten-Zyklus), Fehler-Spike-Erkennung, Sofort-Alarmierung
Backup: Tägliche verschlüsselte Sicherungen mit 14 Tagen Aufbewahrung, Off-Site-Kopie auf physischem Datenträger in Deutschland
Eingabevalidierung: XSS-Escaping, SQL-Injection-Schutz (parametrisierte Abfragen), SSRF-Schutz, CORS mit expliziten Origins

Eine ausführliche Beschreibung aller technischen und organisatorischen Massnahmen ist auf Anfrage erhältlich.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern für die in diesem AVV beschriebenen Dienste. Folgende Unterauftragsverarbeiter werden derzeit eingesetzt:

Anbieter	Zweck	Standort
Hetzner Online GmbH	Server-Hosting und Infrastruktur	Deutschland
Meta Platforms Ireland Ltd.	WhatsApp Business API, Instagram, Facebook Messenger	Irland (EU)
OpenAI LLC	KI-Sprachverarbeitung, Transkription diktierter Notizen (Sprache zu Text), Prüfung von Verordnungsfotos	USA (DPF)
Google LLC	KI-Sprachverarbeitung (Gemini)	USA (DPF)
Anthropic PBC	KI-Sprachverarbeitung	USA (DPF)
Resend Inc.	Transaktions-E-Mail-Versand	USA (DPF)
Telegram Messenger Inc.	Telegram Bot API (optional)	VAE (SCCs)

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage im Voraus über beabsichtigte Änderungen bei Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit zum Widerspruch. Bei begründetem Widerspruch wird der Auftragsverarbeiter den Unterauftragsverarbeiter nicht einsetzen oder dem Verantwortlichen ein Kündigungsrecht einräumen.

Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeiter Datenschutzpflichten unterliegen, die nicht weniger schützend sind als die in diesem AVV festgelegten.

9. Internationale Datenübermittlung

Personenbezogene Daten werden primär auf Servern in Deutschland (EU) gespeichert und verarbeitet. Soweit personenbezogene Daten an Unterauftragsverarbeiter ausserhalb der EU/des EWR übermittelt werden, gelten folgende Garantien:

USA: EU-U.S. Data Privacy Framework (DPF) Zertifizierung des Empfängers, ergänzt durch Standardvertragsklauseln (SCCs) wo anwendbar
Sonstige Drittländer: Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914

KI-Sprachverarbeitungsanbieter werden unter API-Bedingungen eingesetzt, die die Verwendung von Eingabedaten zum Modelltraining untersagen (Zero-Retention- bzw. Zero-Training-Richtlinien).

10. Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen einschliesslich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden. Solche Überprüfungen erfolgen mit angemessener Vorankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten und dürfen den Betrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigen.

11. Datenspeicherung und Löschung

Personenbezogene Daten werden für die Dauer des Dienstleistungsvertrags gespeichert. Bei Beendigung:

Der Verantwortliche kann innerhalb von 30 Tagen nach Beendigung den Export aller personenbezogenen Daten in einem maschinenlesbaren Format (JSON/CSV) anfordern.
Nach Ablauf der Exportfrist (oder sofort auf Anfrage, wenn kein Export benötigt wird) werden alle personenbezogenen Daten innerhalb von 14 Tagen unwiderruflich aus den aktiven Systemen gelöscht.
Daten in verschlüsselten Backups werden durch reguläre Backup-Rotation entfernt (maximal 14 Tage nach Löschung aus aktiven Systemen).

Daten, die der Verantwortliche aufgrund gesetzlicher Aufbewahrungspflichten vorhalten muss (z.B. Behandlungsdokumentation und Verordnungsdaten nach § 630f BGB, 10 Jahre), sind im Export nach Ziffer 1 enthalten. Die Aufbewahrung über das Vertragsende hinaus liegt in der Verantwortung des Verantwortlichen; der Auftragsverarbeiter hält diese Daten nach der Löschung gemäß Ziffer 2 nicht weiter vor.

Bei Test-Accounts, die nicht in ein bezahltes Abonnement umgewandelt werden, werden alle Daten automatisch 33 Tage nach Ablauf der Testphase gelöscht.

12. Meldung von Datenpannen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich (und in jedem Fall innerhalb von 48 Stunden) nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft. Die Meldung umfasst:

Die Art der Verletzung einschliesslich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
Die wahrscheinlichen Folgen der Verletzung
Die ergriffenen oder vorgeschlagenen Massnahmen zur Behebung der Verletzung

Der Verantwortliche bleibt dafür zuständig zu entscheiden, ob eine Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) oder an betroffene Personen (Art. 34 DSGVO) erforderlich ist.

13. Anwendbares Recht

Dieser AVV unterliegt der Datenschutz-Grundverordnung (EU) 2016/679 sowie, soweit anwendbar, den nationalen Datenschutzgesetzen des Niederlassungsstaats des Verantwortlichen.

Legal

Acuerdo de Procesamiento de Datos

Última actualización: septiembre de 2026

1. Partes

Este Acuerdo de Procesamiento de Datos ("DPA") se celebra entre el Cliente (Responsable del tratamiento) y KonzeptWeber LLC, 30 N Gould St Ste N, Sheridan WY 82801, USA, operando como Yachay Systems (Encargado del tratamiento).

Contacto para asuntos de proteccion de datos: info@yachay.systems

2. Objeto y Duracion

Este DPA regula el tratamiento de datos personales por parte del Encargado en nombre del Responsable en relacion con la prestacion de servicios de comunicacion y programacion de citas basados en inteligencia artificial. El DPA se aplica durante la vigencia del acuerdo de servicio y finaliza con la eliminacion o devolucion de todos los datos personales.

3. Naturaleza y Proposito del Tratamiento

El Encargado opera agentes de comunicacion de IA en nombre del Responsable. El tratamiento incluye:

Recepcion y respuesta de mensajes de los clientes del Responsable a traves de WhatsApp, webchat, Instagram, Facebook Messenger o Telegram
Procesamiento linguistico asistido por IA del contenido de los mensajes para generar respuestas
Programacion de citas y gestion de calendario
Almacenamiento de historiales de conversacion para su consulta por el Responsable a traves del panel de administracion
Envio de notificaciones transaccionales (p. ej., confirmaciones de citas) en nombre del Responsable
Para clientes de fisioterapia: comprobación de las fotos de prescripciones enviadas por los pacientes mediante un modelo de imagen de IA (veredicto: prescripción sí/no, legible sí/no) y almacenamiento en el panel para su revisión por el Responsable
Para clientes de fisioterapia: transcripción de notas de tratamiento dictadas por los profesionales del Responsable y generación de un borrador estructurado de la nota con un modelo de lenguaje; el borrador pasa a formar parte del historial de tratamiento solo después de que el profesional lo confirme

4. Tipos de Datos Personales

Las siguientes categorias de datos personales pueden ser tratadas:

Nombres y datos de contacto (numeros de telefono, direcciones de correo electronico)
Identificadores de plataformas de mensajeria
Datos de citas y reservas
Contenido de mensajes y conversaciones
Metadatos de conversacion (marcas de tiempo, canal, identificadores de sesion)
Datos de la prescripción (diagnóstico o código CIE-10, tratamiento prescrito, número y frecuencia de sesiones, fecha de emisión) y fotos de prescripciones (fisioterapia)
Documentación del tratamiento: transcripciones de notas dictadas y borradores estructurados (fisioterapia). Las grabaciones de voz se tratan de forma transitoria para su transcripción y no se almacenan

Categorias especiales (Art. 9 RGPD): Para prestadores de servicios de salud (p. ej., fisioterapia), el contenido de los mensajes puede incluir informacion relacionada con la salud proporcionada voluntariamente por los interesados (p. ej., sintomas, dolencias, informacion de seguro medico), y los datos de prescripciones y la documentación del tratamiento contienen diagnósticos y detalles del tratamiento. El Responsable es responsable de garantizar una base juridica valida conforme al Art. 9(2) RGPD para el tratamiento de dichos datos.

5. Categorias de Interesados

Clientes, pacientes o usuarios del Responsable
Clientes potenciales que inician contacto a traves de canales de mensajeria
Empleados y profesionales del Responsable (uso del panel; voz y autoría de las notas de tratamiento dictadas)

6. Obligaciones del Encargado

El Encargado se compromete a:

Tratar los datos personales unicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias a terceros paises (Art. 28(3)(a) RGPD)
Garantizar que todas las personas autorizadas para tratar datos personales esten sujetas a obligaciones de confidencialidad (Art. 28(3)(b) RGPD)
Implementar las medidas tecnicas y organizativas apropiadas descritas en la Seccion 7 (Art. 28(3)(c) RGPD)
Cumplir las condiciones para la contratacion de subencargados segun la Seccion 8 (Art. 28(3)(d) RGPD)
Asistir al Responsable en la respuesta a solicitudes de los interesados que ejerzan sus derechos conforme al Capitulo III del RGPD (Art. 28(3)(e) RGPD)
Asistir al Responsable en el cumplimiento de las obligaciones de los Articulos 32 a 36 del RGPD, incluida la notificacion de violaciones de seguridad y las evaluaciones de impacto en la proteccion de datos (Art. 28(3)(f) RGPD)
Eliminar o devolver todos los datos personales a la finalizacion segun la Seccion 11 (Art. 28(3)(g) RGPD)
Poner a disposicion del Responsable toda la informacion necesaria para demostrar el cumplimiento y permitir auditorias segun la Seccion 10 (Art. 28(3)(h) RGPD)

Secreto profesional: Cuando el Responsable esté sujeto a secreto profesional (p. ej., art. 203 del Código Penal alemán), el Encargado y su personal actúan como personas que asisten a la actividad profesional del Responsable. El Encargado obliga a su personal al secreto en consecuencia, contrata subencargados con acceso a dichos datos solo bajo obligaciones equivalentes e informa al Responsable antes de implicar a otras personas cuando sea necesario.

7. Medidas Tecnicas y Organizativas

El Encargado implementa las siguientes medidas para garantizar un nivel de seguridad adecuado (Art. 32 RGPD):

Cifrado en transito: TLS 1.2+ para todas las conexiones, HSTS con max-age de 1 anno
Cifrado en reposo: Copias de seguridad cifradas con AES-256 (age). Servidor alojado en Alemania (Hetzner Online GmbH, Nuremberg/Falkenstein)
Control de acceso: Autenticacion SSH solo por clave, login root deshabilitado, prevencion de intrusos fail2ban, autenticacion dual de administracion (proxy inverso + clave API de aplicacion)
Aislamiento de inquilinos: Separacion estricta de datos por inquilino mediante filtrado por tenant_id en todas las operaciones de base de datos
Aislamiento de contenedores: Todos los servicios se ejecutan como usuarios no root en contenedores aislados con limites de recursos
Monitoreo: Verificaciones automaticas de estado (ciclo de 5 minutos), deteccion de picos de errores, alertas instantaneas
Copias de seguridad: Copias de seguridad cifradas diarias con retencion de 14 dias, copia externa cifrada en medio fisico en Alemania
Validacion de entradas: Escapado XSS, prevencion de inyeccion SQL (consultas parametrizadas), proteccion SSRF, CORS con origenes explicitos

Una descripcion detallada de todas las medidas tecnicas y organizativas esta disponible bajo solicitud.

8. Subencargados

El Responsable otorga al Encargado una autorizacion general para contratar subencargados para los servicios descritos en este DPA. Los siguientes subencargados estan actualmente contratados:

Proveedor	Proposito	Ubicacion
Hetzner Online GmbH	Alojamiento de servidores e infraestructura	Alemania
Meta Platforms Ireland Ltd.	WhatsApp Business API, Instagram, Facebook Messenger	Irlanda (UE)
OpenAI LLC	Procesamiento lingüístico de IA, transcripción de notas dictadas (voz a texto), comprobación de fotos de prescripciones	EE.UU. (DPF)
Google LLC	Procesamiento linguistico de IA (Gemini)	EE.UU. (DPF)
Anthropic PBC	Procesamiento linguistico de IA	EE.UU. (DPF)
Resend Inc.	Envio de correos transaccionales	EE.UU. (DPF)
Telegram Messenger Inc.	Telegram Bot API (opcional)	EAU (SCCs)

El Encargado informara al Responsable con al menos 14 dias de antelacion sobre cualquier adicion o sustitucion prevista de subencargados, dando al Responsable la oportunidad de objetar. Si el Responsable presenta una objecion justificada, el Encargado se abstendra de contratar al subencargado u ofrecera al Responsable el derecho de rescindir el acuerdo de servicio.

El Encargado asegura que los subencargados esten sujetos a obligaciones de proteccion de datos no menos protectoras que las establecidas en este DPA.

9. Transferencias Internacionales de Datos

Los datos personales se almacenan y procesan principalmente en servidores ubicados en Alemania (UE). Cuando los datos personales se transfieran a subencargados fuera de la UE/EEE, se aplican las siguientes garantias:

EE.UU.: Certificacion del Marco de Privacidad de Datos UE-EE.UU. (DPF) del destinatario, complementada con Clausulas Contractuales Tipo (SCCs) cuando corresponda
Otros terceros paises: Clausulas Contractuales Tipo (SCCs) conforme a la Decision de Ejecucion (UE) 2021/914

Los proveedores de procesamiento linguistico de IA se utilizan bajo terminos de API que prohiben el uso de datos de entrada para el entrenamiento de modelos (politicas de retencion cero o entrenamiento cero).

10. Auditorias

El Encargado pondra a disposicion del Responsable toda la informacion necesaria para demostrar el cumplimiento de las obligaciones establecidas en el Art. 28 del RGPD (Art. 28(3)(h) RGPD). El Encargado permitira y contribuira a auditorias, incluidas inspecciones, realizadas por el Responsable o un auditor designado por este. Dichas auditorias se realizaran con aviso previo razonable (al menos 14 dias) durante el horario comercial habitual y no interferiran de manera irrazonable con las operaciones del Encargado.

11. Retencion y Eliminacion de Datos

Los datos personales se almacenan durante la vigencia del acuerdo de servicio. A la finalizacion:

El Responsable puede solicitar la exportacion de todos los datos personales en un formato legible por maquina (JSON/CSV) dentro de los 30 dias posteriores a la finalizacion.
Tras el periodo de exportacion (o inmediatamente a solicitud si no se necesita exportacion), todos los datos personales seran eliminados permanentemente de los sistemas activos en un plazo de 14 dias.
Los datos en copias de seguridad cifradas se eliminaran mediante la rotacion regular de copias de seguridad (maximo 14 dias despues de la eliminacion de los sistemas activos).

Los datos que el Responsable deba conservar por obligaciones legales de conservación (p. ej., historiales de tratamiento y datos de prescripciones según el art. 630f del Código Civil alemán, 10 años) se incluyen en la exportación del punto 1. La conservación más allá de la finalización es responsabilidad del Responsable; el Encargado no conserva dichos datos tras la eliminación del punto 2.

Para cuentas de prueba que no se conviertan en suscripcion de pago, todos los datos se eliminan automaticamente 33 dias despues de la expiracion de la prueba.

12. Notificacion de Violaciones de Seguridad

El Encargado notificara al Responsable sin demora indebida (y en todo caso dentro de las 48 horas) despues de tener conocimiento de una violacion de la seguridad de los datos personales que afecte los datos del Responsable. La notificacion incluira:

La naturaleza de la violacion, incluidas las categorias y el numero aproximado de interesados y registros afectados
Las consecuencias probables de la violacion
Las medidas adoptadas o propuestas para remediar la violacion

El Responsable sigue siendo responsable de determinar si es necesaria la notificacion a la autoridad de control (Art. 33 RGPD) o a los interesados (Art. 34 RGPD).

13. Ley Aplicable

Este DPA se rige por el Reglamento General de Proteccion de Datos (UE) 2016/679 y, en su caso, por las leyes nacionales de proteccion de datos del pais de establecimiento del Responsable.