Acuerdo de Encargado de Tratamiento de Datos Personales

Versión 1.5

1. Partes y roles

• Responsable del tratamiento: la profesional de la nutrición titular de la cuenta (en adelante, «la Responsable»).
• Encargada del tratamiento: KLOWI LLC, sociedad constituida en los Estados Unidos de América, con domicilio en 8 The Green, Suite B, Dover, Delaware 19901, Estados Unidos de América (en adelante, «Uva»).

La Responsable determina qué datos de sus pacientes se recogen, con qué finalidad y por qué plazo. Uva los trata por cuenta de la Responsable y conforme a sus instrucciones, sin adoptar decisión alguna sobre ellos y sin destinarlos a finalidad propia.

El presente Acuerdo integra los Términos y Condiciones y se acepta conjuntamente con ellos.

2. Objeto

El presente Acuerdo regula el tratamiento que Uva realiza, por cuenta de la Responsable, de los datos personales de sus pacientes, en el marco de la prestación del servicio y conforme al artículo 25 de la Ley 25.326.

3. Descripción del tratamiento

• Finalidad: exclusivamente la prestación del servicio contratado, comprendiendo el registro de historia clínica, agenda, antropometría, análisis, planes alimentarios, documentos, cobros y comunicación con los pacientes.
• Duración: la vigencia de la cuenta, con más los plazos previstos en la cláusula 10.
• Categorías de titulares: los pacientes de la Responsable y, cuando correspondiere, sus representantes legales.
• Categorías de datos: datos identificatorios y de contacto; datos relativos a la salud, que revisten carácter de datos sensibles conforme al artículo 2 de la Ley 25.326; datos antropométricos; resultados de estudios; datos de facturación y pagos.

Uva no trata los datos de los pacientes para finalidad propia alguna: no los utiliza con fines publicitarios, no los cede, no los comercializa y no los emplea para el entrenamiento de modelos de inteligencia artificial, propios ni de terceros.

4. Obligaciones de Uva en su carácter de encargada

Uva se obliga a:

1. Tratar los datos únicamente conforme a las instrucciones documentadas de la Responsable, las que resultan del presente Acuerdo y de la configuración que aquélla efectúa dentro de la aplicación. Uva no los aplicará ni utilizará con un fin distinto del previsto en el presente contrato, ni los cederá a otras personas, ni aun para su conservación (artículo 25, inciso 1, de la Ley 25.326).
2. Guardar confidencialidad. Uva y toda persona que intervenga en cualquier fase del tratamiento se encuentran obligadas al secreto profesional respecto de los datos, obligación que subsiste aun después de finalizada la relación (artículo 10 de la Ley 25.326).
3. Adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos, evitando su adulteración, pérdida, consulta o tratamiento no autorizado (artículo 9 de la Ley 25.326), conforme al Anexo III.
4. Prestar asistencia a la Responsable a fin de que ésta pueda atender las solicitudes de acceso, rectificación, actualización y supresión de sus pacientes dentro de los plazos legales (artículos 14 y 16 de la Ley 25.326), así como entregar copia de la historia clínica, autenticada por autoridad competente de la institución asistencial, dentro de las cuarenta y ocho (48) horas de solicitada, salvo caso de emergencia (artículo 14 de la Ley 26.529).
5. Notificar los incidentes de seguridad que afecten datos de los pacientes de la Responsable, sin dilación indebida desde su toma de conocimiento, con descripción del hecho, de los datos afectados, de las medidas adoptadas y de las recomendaciones que correspondan.
6. Abstenerse de subcontratar fuera de lo previsto en la cláusula 5.
7. Poner a disposición de la Responsable la información necesaria para acreditar el cumplimiento de las obligaciones precedentes.

5. Subencargados

La Responsable autoriza de forma general a que Uva recurra a los proveedores enumerados en el Anexo II para la prestación del servicio.

• Uva celebra con cada uno de ellos un contrato que le impone obligaciones no menos estrictas que las del presente Acuerdo, y responde frente a la Responsable por su actuación.
• Con carácter previo a la incorporación o sustitución de un subencargado, Uva lo comunicará con una antelación mínima de treinta (30) días. La Responsable puede oponerse por motivos razonables vinculados a la protección de datos; de no resolverse la oposición, podrá dar de baja el servicio sin penalidad y con derecho al reembolso proporcional de lo abonado por adelantado.

6. Funciones de inteligencia artificial

Uva utiliza servicios de inteligencia artificial de terceros para la extracción de valores de estudios de laboratorio y para la elaboración de resúmenes de información previamente registrada.

• Se remite únicamente el contenido necesario para la tarea concreta. No se remite la historia clínica completa ni datos de otros pacientes.
• El proveedor no puede utilizar dicho contenido para el entrenamiento de sus modelos ni para finalidad propia alguna. La Responsable ha confirmado que el plan contratado con el proveedor de inteligencia artificial así lo garantiza, conforme a los Gemini API Additional Terms of Service, vigentes desde el 23 de marzo de 2026, apartado «How Google Uses Your Data» de los Paid Services: «Google doesn't use your prompts (including associated system instructions, cached content, and files such as images, videos, or documents) or responses to improve our products».

Dicha garantía rige exclusivamente respecto del servicio pago, razón por la cual Uva lo contrata bajo esa modalidad. En el servicio gratuito, los mismos términos establecen lo contrario: que el contenido remitido se utiliza para el desarrollo de sus productos y de sus tecnologías de aprendizaje automático. La discontinuación de la modalidad paga privaría de sustento a la presente cláusula.

• Todo resultado es revisado y validado por la Responsable con carácter previo a su incorporación a la historia clínica o a su comunicación a un paciente. Ninguna decisión sobre una persona se funda exclusivamente en el tratamiento automatizado de sus datos.
• Estas funciones se ejecutan únicamente por una acción expresa de la Responsable: la extracción, al cargar el archivo de un estudio de laboratorio; el resumen, al solicitarlo. La Responsable decide respecto de qué pacientes las utiliza, y los datos de un paciente respecto del cual no las utilice no se remiten al proveedor de inteligencia artificial.

Obligación de la Responsable: informar a sus pacientes acerca de la utilización de estas funciones y de la transferencia internacional prevista en la cláusula 7, y obtener su consentimiento con carácter previo a utilizarlas respecto de cada uno de ellos.

7. Transferencia internacional de datos

Algunos subencargados se domicilian fuera de la República Argentina, en países que la Agencia de Acceso a la Información Pública no reconoce como de nivel adecuado de protección, entre ellos los Estados Unidos de América. El Anexo II indica la ubicación de cada uno.

El artículo 12 de la Ley 25.326 prohíbe la transferencia a países sin nivel adecuado de protección, salvo las excepciones que enumera —colaboración judicial, intercambio de datos médicos cuando lo exija el tratamiento del afectado, transferencias bancarias o bursátiles, tratados internacionales y cooperación entre organismos de inteligencia—. El consentimiento no se encuentra comprendido entre dichas excepciones legales: la habilitación por consentimiento surge del artículo 12 del Decreto 1558/2001, conforme al cual la prohibición no rige cuando el titular del dato hubiera consentido expresamente la cesión.

Las transferencias se amparan en:

1. el consentimiento expreso del titular del dato, conforme al artículo 12 del Decreto 1558/2001, que la Responsable debe obtener según la cláusula 6, y que constituye el fundamento principal;
2. los términos de tratamiento de datos que cada subencargado aplica a sus clientes, que lo obligan a tratar la información únicamente conforme a las instrucciones recibidas y bajo deber de confidencialidad.

Cláusulas contractuales modelo. La Agencia aprobó dos juegos, alternativos y no acumulativos: los de la Disposición DNPDP 60/2016 y los de la Resolución AAIP 198/2023, correspondientes a la Red Iberoamericana de Protección de Datos, que no derogó la anterior sino que incorporó un segundo modelo compatible. Uva contrata a los subencargados del Anexo II por adhesión a sus términos, razón por la cual dichos modelos no se incorporan actualmente como anexo suscripto con cada uno de ellos, y la transferencia se ampara en los fundamentos precedentes. Uva evalúa, con asesoramiento legal, su incorporación respecto de aquellos proveedores que lo admitan, y actualizará el presente Acuerdo en caso de hacerlo.

8. Obligaciones de la Responsable

La Responsable se obliga a:

• contar con base legítima para el tratamiento de los datos de sus pacientes y obtener el consentimiento libre, expreso e informado exigido por el artículo 5 de la Ley 25.326, el que debe constar por escrito o por medio equiparable por tratarse de datos sensibles;
• informar a sus pacientes lo exigido por el artículo 6 de la Ley 25.326: la finalidad del tratamiento, la identidad del responsable, el carácter obligatorio o facultativo de los datos, las consecuencias de proporcionarlos o de negarse, y los derechos de acceso, rectificación y supresión;
• obtener el consentimiento informado exigido por la Ley 26.529 y por el artículo 59 del Código Civil y Comercial de la Nación respecto de su actuación profesional;
• observar el secreto profesional impuesto por la normativa de su ejercicio;
• inscribir su base de datos en el Registro Nacional de Bases de Datos cuando correspondiere conforme al artículo 21 de la Ley 25.326;
• impartir instrucciones lícitas. En caso de que una instrucción infringiera la normativa de protección de datos, Uva lo comunicará a la Responsable y podrá suspender su ejecución.

9. Ejercicio de derechos por los pacientes

Los pacientes ejercen sus derechos ante la Responsable, quien los conoce y responde frente a ellos. En caso de que un paciente se dirigiera directamente a Uva, ésta no responderá por sí: le indicará que se dirija a su profesional y lo comunicará a la Responsable sin dilación.

10. Devolución y supresión a la terminación

Terminada la relación contractual, y una vez vencido el plazo de exportación previsto en los Términos y Condiciones, Uva suprimirá los datos personales tratados por cuenta de la Responsable.

Conforme al artículo 25, inciso 2, de la Ley 25.326, los datos deben ser destruidos, salvo mediare autorización expresa de la Responsable —cuando razonablemente se presuma la posibilidad de ulteriores encargos—, en cuyo caso podrán almacenarse por un plazo máximo de dos (2) años, con las debidas condiciones de seguridad.

El artículo 18 de la Ley 26.529 impone a la Responsable conservar la historia clínica por un plazo mínimo de diez (10) años contados desde la última actuación registrada. Dicho deber recae sobre la Responsable y no se transfiere a Uva: con carácter previo a dar de baja la cuenta, debe exportar y conservar por sus propios medios la información cuya guarda la ley le impone.

11. Responsabilidad

Cada parte responde por el incumplimiento de las obligaciones que el presente Acuerdo pone a su cargo. Uva responde por la actuación de sus subencargados en los mismos términos que por la propia.

Anexo I — Descripción del tratamiento

Anexo II — Subencargados

Precisiones sobre el alcance de cada subencargado:

• Stripe trata datos de la profesional y no de sus pacientes: nombre, correo electrónico y datos de pago de quien contrata el plan. Se incluye en la nómina por cuanto la cláusula 5 exige enumerar a todo subencargado, y no por acceder a información clínica.
• Mercado Pago, en cambio, recibe el nombre del paciente que efectúa el pago, extremo que la Responsable debe contemplar al informar a sus pacientes.
• Sentry recibe un reporte previamente depurado y no el error en su forma original. Con anterioridad a su remisión se suprimen el identificador del paciente —la dirección se transmite como /pacientes/:id/consultas—, el contenido de los formularios, la cadena de consulta, las cookies, las cabeceras y la identidad del usuario. Dicha supresión se implementa en src/lib/sentry-privado.ts, que opera tanto en el servidor como en el navegador, y su vigencia se verifica mediante pruebas automatizadas.
• Amplitude no accede a dato alguno de los pacientes, con independencia de su configuración. Recibe únicamente eventos pertenecientes a una nómina cerrada —tales como la creación de una ficha o la carga de un estudio—, el plan de la cuenta, el tipo de dispositivo y la versión de la aplicación. La Responsable se identifica mediante un código irreversible, y no por su correo electrónico ni por el identificador de su cuenta. La medición se ejecuta exclusivamente en el servidor: la aplicación no incorpora componente alguno de Amplitude en el navegador, por lo que no resulta posible la captura de pantallas, direcciones, formularios ni del texto seleccionado. Lo garantizan src/core/analitica/eventos.ts, que admite únicamente valores enumerados, y pruebas automatizadas que verifican dicha limitación.
• Almacenamiento de archivos. Los documentos y estudios se alojan mediante MinIO, en el mismo servidor que la aplicación, por lo que no constituyen un subencargado autónomo y quedan comprendidos en la fila correspondiente al proveedor de infraestructura. El presente Anexo consignó hasta el 7 de septiembre de 2026 que dicho almacenamiento se efectuaba en Cloudflare R2, lo que no resultaba exacto. Su eventual migración a dicho proveedor se encuentra prevista para cuando el volumen lo justifique, en cuyo caso corresponderá incorporar su fila con carácter previo a la migración.
• Linode aloja la totalidad de los componentes: la aplicación, la base de datos, los archivos y las copias de seguridad. No se utiliza un segundo proveedor para los respaldos, conforme a decisión de la Responsable de fecha 7 de septiembre de 2026. Por tal motivo su fila comprende las cuatro finalidades indicadas.
• Google Calendar recibe las iniciales del nombre del paciente —dos letras por cada palabra que lo compone, de modo que «Pedro Gonzales» se consigna como «Pe Go»—, el nombre del servicio y el horario de la consulta, que integran el evento que Uva registra, así como la dirección de correo electrónico del paciente, en calidad de invitado al evento, cuando se dispone de ella. Lo expuesto resulta aplicable únicamente en caso de haberse conectado la integración, que reviste carácter optativo.

Anexo III — Medidas de seguridad

Conforme a las medidas recomendadas por la Resolución AAIP 47/2018:

• Control de acceso: autenticación de usuarios y segregación de roles. Cada profesional accede únicamente a los datos de sus propios pacientes.
• Cifrado: de las comunicaciones en tránsito (TLS) y de las contraseñas almacenadas (mediante función de hash con sal, en ningún caso en texto plano). Los tokens de acceso a servicios de terceros —calendario y cobros— se almacenan cifrados mediante AES-256-GCM. Las copias de seguridad se cifran mediante restic en el propio servidor, con una clave que no se conserva junto a ellas. El disco que aloja la base de datos se encuentra cifrado en reposo, según lo provisto por Linode.
• Respaldo y recuperación: copias de seguridad diarias y cifradas, conservándose treinta (30) diarias y trece (13) semanales, equivalentes a aproximadamente tres meses.

Las copias se conservan actualmente en el mismo servidor que la base de datos, conforme a decisión de la Responsable de fecha 7 de septiembre de 2026 de alojar la totalidad de los componentes en un proveedor único. Dicho esquema protege frente a un borrado accidental o a una actualización defectuosa, y no frente a la pérdida del servidor. Uva cuenta con un procedimiento de restauración verificado, que ejecuta a requerimiento; su ejecución programada y la remisión de las copias a un segundo proveedor se encuentran previstas y aún no implementadas.

• Registro de actividad: trazabilidad de los accesos y de las operaciones realizadas. Se registra quién abre, descarga o modifica cada ficha de paciente, con su fecha y dirección IP. El registro no puede ser alterado desde la aplicación y se conserva por dos (2) años.
• Gestión de vulnerabilidades: revisión y actualización de los componentes del sistema.
• Destrucción segura de la información al vencimiento de los plazos de conservación.
• Gestión de incidentes: detección, evaluación, contención, respuesta y notificación conforme a la cláusula 4.5.

Normas citadas

• Ley 25.326, artículos 2, 5, 6, 9, 10, 12, 14, 16, 21 y 25
• Decreto 1558/2001, reglamentario de la Ley 25.326, artículos 12 y 25
• Ley 26.529, artículos 14 y 18
• Código Civil y Comercial de la Nación, artículo 59
• Disposición DNPDP 60/2016 y Resolución AAIP 198/2023 (cláusulas contractuales modelo)
• Resolución AAIP 47/2018 (medidas de seguridad recomendadas)