Acuerdo de tratamiento de datos

Acuerdo de Tratamiento de Datos (DPA)

Resumen Rápido

• De qué trata esta página: Cómo Eleva guarda los registros de sesión para especialistas y clínicas, como su encargado del tratamiento conforme al artículo 28 del RGPD.
• Eleva.care es un marketplace de intermediación y no presta asistencia sanitaria; la atención clínica la prestan especialistas independientes y habilitados.
• Para datos de plataforma (cuentas, reservas, pagos): Eleva.care es el Responsable del Tratamiento.
• Para notas/archivos clínicos creados por especialistas: el especialista es el Responsable; Eleva.care los almacena de forma segura.
• Los registros de sesión se guardan en la UE (Fráncfort), protegidos por cifrado y controles de acceso estrictos. La sección 12 indica dónde trata los datos cada proveedor, también fuera de la UE.
• ¿Preguntas? Contacte privacy@eleva.care (Eleva está nombrando un delegado de protección de datos externo).

Este DPA explica cómo Eleva.care trata los datos personales—de forma clara y simple.

Eleva.care es un marketplace de intermediación que conecta a los miembros con profesionales sanitarios independientes, que prestan las sesiones. Eleva.care no presta asistencia sanitaria.

1) Quién hace qué

• Eleva.care es un marketplace de intermediación: la asistencia la prestan profesionales independientes y habilitados, y Eleva.care no presta asistencia sanitaria.
• Dos roles:
  • Responsable (operaciones de plataforma: cuentas, reservas, pagos, soporte)
  • Encargado (notas/archivos clínicos creados por profesionales: almacenamos de forma segura bajo sus instrucciones)

2) Cuando somos Responsable (plataforma)

• Usamos encargados de confianza para operar la plataforma. La sección 12 los indica, con sus regiones y garantías.
  • Inicio de sesión y sincronización de calendario: Google y Microsoft, cuando la persona los elige (responsables independientes)
  • Pagos: Stripe (PCI DSS L1), que también actúa como responsable independiente de sus propias obligaciones legales
• Exigimos DPAs/SCCs, controles de seguridad y residencia en la UE cuando sea posible.

3) Cuando somos Encargado (para especialistas)

• Los especialistas son Responsables de los datos clínicos; nosotros somos Encargado. En este acuerdo, "especialista" incluye a una clínica que ofrezca servicios a través de un Equipo en Eleva.
• Actuamos solo con instrucciones documentadas, ciframos datos (en tránsito y en reposo), y mantenemos RBAC y logs de auditoría.
• Los registros de sesión se guardan en Neon (Fráncfort) y los documentos de sesión subidos en Cloudflare R2 (jurisdicción UE). La sección 12 indica todos los subencargados que pueden tratarlos. Avisamos antes de cualquier cambio.

Qué trata Eleva por cuenta de usted (artículo 28, apartado 3, del RGPD)

• Objeto: conservar y transmitir los registros de sesión que usted crea para los miembros que atiende en Eleva.
• Duración: mientras este acuerdo esté en vigor y, después, durante el plazo de conservación de la sección 6, salvo que usted ordene una eliminación anticipada cuando la ley lo permita.
• Naturaleza y finalidad: conservación cifrada, presentación a usted y al miembro con quien la comparte, exportación, transcripción en directo y borradores con IA cuando el miembro consiente, y eliminación.
• Tipos de datos personales: datos de identificación y contacto, datos de la reserva y datos de salud (respuestas al cuestionario inicial, notas de sesión, transcripciones, informes y archivos subidos para una sesión).
• Categorías de interesados: los miembros que usted atiende en Eleva.

4) Seguridad en breve

• TLS 1.2 o superior en tránsito; AES‑256‑GCM en reposo (datos clínicos)
• Mínimo privilegio/RBAC; auditoría; copias cifradas
• SLA de notificación de brechas a Responsables en 24h para datos clínicos

5) Transferencias internacionales

• Damos prioridad a la residencia de datos en la UE. Cuando un proveedor o su personal fuera del EEE puede acceder a datos, recurrimos al Marco de Privacidad de Datos UE–EE. UU. (DPF), si el proveedor está certificado, y a las cláusulas contractuales tipo (SCCs), con medidas complementarias (cifrado, control de claves, registro de accesos, impugnación de solicitudes excesivas). La sección 12 indica las garantías de cada proveedor.

6) Conservación y eliminación

• Datos de plataforma: solo el tiempo necesario o exigido por ley
• Registros de sesión (datos clínicos): se conservan durante 7 años después de la última sesión, para que usted cumpla su deber de conservación y los miembros mantengan el acceso a los informes ya compartidos.
• Cuando este acuerdo termina, los conservamos por instrucción documentada de usted durante el resto de ese plazo. Puede pedir una exportación en cualquier momento. Al final del plazo, o antes por instrucción de usted cuando la ley lo permita, los eliminamos, y las copias en backups cifrados se sobrescriben a medida que los backups rotan.

7) Derechos de titulares

• Plataforma (Responsable): Atendemos acceso, rectificación, borrado, portabilidad, limitación y oposición.
• Clínico (Encargado): Damos herramientas para que los especialistas atiendan solicitudes de los miembros.

8) Deberes del profesional (como Responsable)

• Obtener consentimientos cuando corresponda; asegurar base legal (p. ej., RGPD art. 9(2)(h))
• Conservación: por defecto, 7 años después de la última sesión (sección 6); puede dar instrucciones de otro plazo cuando sus normas profesionales lo permitan
• Responder a solicitudes de derechos; mantener la exactitud; contar con seguro de responsabilidad profesional

9) Nuestros deberes (como Encargado)

• Seguir instrucciones; proteger datos; ayudar con derechos y DPIAs; notificar brechas sin demora; devolver/eliminar datos a requerimiento; limitar transferencias; confidencialidad
• Instrucciones ilícitas: informamos de inmediato al especialista si consideramos que una instrucción infringe el RGPD u otras disposiciones de protección de datos de la Unión o de los Estados miembros.
• Auditorías: ponemos a disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitimos y contribuimos a la realización de auditorías, incluidas inspecciones, por parte del especialista o de un auditor autorizado. Las solicitudes deben enviarse a privacy@eleva.care con una antelación razonable. Las auditorías deben proteger la confidencialidad y la seguridad de los datos de otros especialistas y miembros.
• Subencargados: solo recurrimos a otro encargado mediante un contrato escrito que le imponga las mismas obligaciones de protección de datos que este DPA, incluidas garantías suficientes de medidas técnicas y organizativas apropiadas. Seguimos siendo plenamente responsables ante el especialista del cumplimiento de esas obligaciones por cada subencargado.

10) Responsabilidad

• Eleva.care: responsable de la operación, seguridad y cumplimiento organizativo/técnico/administrativo de la plataforma, según lo descrito.
• Especialistas: responsables por decisiones clínicas, resultados de la atención y cumplimiento como Responsables de datos clínicos.

11) Actualizaciones, ley y disputas

• Los cambios siguen la sección 19 del Acuerdo de especialista; los cambios de subencargados siguen la sección 12.
• Ley aplicable: Portugal; fuero: tribunales de Portugal

---

12) Subencargados y avisos de cambio

Recurrimos a proveedores cuidadosamente evaluados para operar la plataforma. Cada uno recibe solo los datos mínimos necesarios.

Subencargados de registros de sesión (Eleva como encargado)

El especialista da a Eleva autorización general por escrito para recurrir a estos subencargados. Cada uno está vinculado por un acuerdo de tratamiento de datos.

Otros proveedores (Eleva como responsable)

Estos proveedores no reciben registros de sesión.

Beehiiv proporciona el formulario de suscripción a la newsletter Femme Focus en las páginas de Eleva. El formulario solo se carga después de que el visitante autorice marketing en la Configuración de cookies.

Aviso de cambios: actualizaremos esta lista y daremos aviso con al menos 30 días de antelación antes de añadir o reemplazar un subencargado (salvo cambios inmediatos necesarios por seguridad, cumplimiento o continuidad). Los Responsables pueden oponerse con motivos razonables y documentados. Actuaremos de buena fe para mitigar o, si no se resuelve, permitir la terminación del servicio para el tratamiento afectado sin penalización.

En caso de divergencia entre versiones lingüísticas, prevalecerá la versión en portugués.

Protección de datos: privacy@eleva.care · Operador: BÚZIOS E TARTARUGAS - LDA (Eleva.care), NIPC/NIF 515001708, Rua Gil Vicente, 2, 2775‑198 Parede, Portugal. Soporte support@eleva.care.