Última actualización: 9 de octubre de 2026.
Estas condiciones regulan cómo trata Siacros Tecnologías S.L. (Gersalud) los datos personales a los que accede cuando presta servicios a una clínica o a otra empresa (el cliente). En ese papel, Gersalud es encargado del tratamiento y el cliente es el responsable, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la LOPDGDD.
Forman parte de cualquier propuesta, presupuesto o contrato de servicios aceptado por el cliente. Si el contrato firmado con el cliente incluye un acuerdo de encargo propio, prevalece lo que diga ese acuerdo.
1. Partes
- Responsable del tratamiento: el cliente identificado en la propuesta o el contrato.
- Encargado del tratamiento: Siacros Tecnologías S.L., NIF B91880815, con domicilio en Calle Julián Bazán Boceta 6 1º B, La Algaba – Sevilla (España). Contacto: [email protected].
2. Objeto del encargo
El encargo cubre los tratamientos necesarios para prestar los servicios contratados, que pueden ser:
- desarrollo de software a medida, integraciones y migraciones;
- alojamiento, mantenimiento, soporte y seguridad de webs y aplicaciones;
- productos de software de Gersalud, como la liquidación de honorarios médicos o el programa de referidos;
- copias de seguridad, monitorización y resolución de incidencias.
Según el servicio, el tratamiento puede incluir la recogida, el registro, la estructuración, la conservación, la consulta, la modificación, la extracción, la comunicación por transmisión al propio cliente, la limitación y la supresión de datos.
3. Datos e interesados
| Interesados | Tipos de datos |
|---|---|
| Pacientes y personas interesadas en los servicios de la clínica | Identificativos y de contacto, citas, solicitudes enviadas por los formularios de la web y, solo cuando el servicio lo requiere, datos de salud |
| Profesionales sanitarios y colaboradores | Identificativos y de contacto, actividad realizada, honorarios, datos fiscales y bancarios para liquidaciones |
| Empleados y usuarios de los sistemas del cliente | Identificativos, de contacto y de acceso (usuario y registros de actividad) |
| Donantes, en clínicas de reproducción asistida | Datos anonimizados o seudonimizados del catálogo, según las instrucciones del cliente |
| Personas que recomiendan la clínica y médicos que derivan pacientes | Identificativos y de contacto, y el seguimiento de la recomendación o derivación |
Los datos de salud son una categoría especial (art. 9 RGPD). Gersalud los trata solo cuando el servicio lo exige, con las medidas reforzadas del apartado 6, y nunca los usa en entornos de pruebas sin anonimizarlos o seudonimizarlos antes.
4. Duración
El encargo dura lo mismo que los servicios contratados. Al terminar, se aplica lo previsto en el apartado 10 sobre devolución y supresión de los datos.
5. Obligaciones de Gersalud
- Tratar los datos solo siguiendo las instrucciones documentadas del cliente, incluidas las transferencias internacionales. Si una instrucción infringe la normativa, Gersalud se lo advertirá de inmediato.
- No usar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados del apartado 7 o por obligación legal.
- Garantizar que las personas autorizadas a tratar los datos se comprometen por escrito a mantener la confidencialidad, también después de terminar su relación con Gersalud, y reciben la formación necesaria.
- Aplicar las medidas de seguridad del apartado 6.
- Ayudar al cliente a atender las solicitudes de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un interesado se dirige a Gersalud, le trasladaremos la solicitud al cliente en un plazo máximo de 5 días hábiles.
- Ayudar al cliente, con la información de que disponga, en las evaluaciones de impacto, las consultas previas a la autoridad de control y la notificación de violaciones de seguridad.
- Llevar un registro de las actividades de tratamiento que realiza por cuenta del cliente (art. 30.2 RGPD).
- Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir las auditorías del apartado 9.
6. Medidas de seguridad
Gersalud aplica medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), que se revisan periódicamente. Entre ellas:
- Acceso: cuentas personales, mínimo privilegio, doble factor de autenticación en los paneles de administración y retirada de accesos cuando ya no son necesarios.
- Cifrado: comunicaciones cifradas (HTTPS, SFTP, SSH) y cifrado de las copias de seguridad.
- Copias de seguridad: periódicas, guardadas en una ubicación distinta del servidor principal y con pruebas de restauración.
- Mantenimiento: actualizaciones de seguridad del sistema, WordPress, temas y plugins, probadas antes de publicarlas.
- Vigilancia: monitorización de disponibilidad e integridad y registro de accesos.
- Desarrollo seguro: entornos de pruebas separados, con datos ficticios o seudonimizados, y revisión del código antes de pasarlo a producción.
- Datos de salud: formularios con cifrado de los datos almacenados cuando el servicio lo permite, acceso limitado a las personas imprescindibles y registro de quién accede.
- Ubicación: servidores en la Unión Europea.
7. Subencargados
El cliente autoriza de forma general a Gersalud a recurrir a otros proveedores (subencargados) cuando sea necesario para prestar el servicio. Gersalud los elige entre proveedores que ofrecen garantías suficientes y les impone por contrato las mismas obligaciones de protección de datos.
Las categorías de subencargados habituales son:
- Alojamiento, servidores y copias de seguridad, en la Unión Europea.
- Red de distribución de contenidos y seguridad (Cloudflare, Inc.), que puede tratar datos técnicos en Estados Unidos con las garantías del Marco de Privacidad de Datos UE-EE. UU. y de las cláusulas contractuales tipo.
- Envío de correo electrónico transaccional desde las webs y aplicaciones del cliente.
La lista concreta de subencargados de cada servicio está a disposición del cliente en [email protected]. Gersalud avisará al cliente de cualquier cambio con al menos 15 días de antelación, para que pueda oponerse de forma motivada.
8. Violaciones de seguridad
Si Gersalud detecta una violación de la seguridad que afecte a los datos del cliente, se lo comunicará sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ella. La comunicación incluirá, en la medida en que se conozca:
- la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados;
- las posibles consecuencias;
- las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos;
- una persona de contacto para obtener más información.
Corresponde al cliente, como responsable, notificar la violación a la autoridad de control y, si procede, a los interesados.
9. Auditorías
El cliente puede comprobar el cumplimiento de estas condiciones mediante solicitudes de información o auditorías, por sí mismo o a través de un auditor obligado a confidencialidad, con un preaviso razonable y sin interferir de forma desproporcionada en la actividad de Gersalud.
10. Fin del encargo
Cuando terminen los servicios, Gersalud, según elija el cliente:
- devolverá los datos al cliente o al proveedor que este indique, en un formato estructurado y de uso común, como una copia de la base de datos y de los archivos de la web; o
- suprimirá los datos, incluidas las copias existentes, y lo certificará por escrito.
Lo hará en un plazo máximo de 30 días desde el fin de los servicios. Gersalud solo podrá conservar los datos bloqueados mientras puedan derivarse responsabilidades de la prestación del servicio o lo exija una ley.
11. Obligaciones del cliente
- Garantizar que los datos que facilita a Gersalud se han obtenido de forma lícita y que cuenta con una base jurídica para tratarlos, incluido el consentimiento de los interesados cuando sea necesario.
- Informar a los interesados sobre el tratamiento de sus datos.
- Dar a Gersalud instrucciones documentadas y supervisar el tratamiento.
- Comunicar a Gersalud cualquier cambio en las instrucciones o en los datos que pueda afectar al encargo.
12. Responsabilidad y legislación aplicable
Cada parte responde de los daños que cause por incumplir sus obligaciones según el artículo 82 del RGPD. Si Gersalud trata los datos para fines propios o incumpliendo estas condiciones, será considerado responsable de ese tratamiento.
Estas condiciones se rigen por la legislación española y por el RGPD. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Sevilla.