Acuerdo de Encargado de Tratamiento de Datos Personales

Versión 1.2 — vigente desde 9 de septiembre de 2026

1. Partes y roles

• La Responsable del tratamiento: la profesional de la nutrición titular de la cuenta.
• La Encargada del tratamiento: KLOWI LLC, sociedad constituida en los Estados Unidos de América, con domicilio en 8 The Green, Suite B, Dover, Delaware 19901, Estados Unidos de América («Uva»).

Vos sos la responsable. Determinás qué datos de tus pacientes se recogen, con qué finalidad y por cuánto tiempo. Uva los trata por cuenta tuya y siguiendo tus instrucciones, sin decidir sobre ellos y sin usarlos para finalidad propia alguna.

Este acuerdo integra los Términos y Condiciones y se acepta junto con ellos.

2. Objeto

Regular el tratamiento que Uva realiza, por cuenta de la Responsable, de los datos personales de sus pacientes, en el marco de la prestación del servicio, conforme al artículo 25 de la Ley 25.326.

3. Descripción del tratamiento

• Finalidad: exclusivamente prestar el servicio contratado — registro de historia clínica, agenda, antropometría, análisis, planes alimentarios, documentos, cobros y comunicación con los pacientes.
• Duración: mientras la cuenta esté vigente, más los plazos de la cláusula 10.
• Categorías de titulares: los pacientes de la Responsable y, cuando corresponda, sus representantes legales.
• Categorías de datos: datos identificatorios y de contacto; datos relativos a la salud, que son datos sensibles conforme al artículo 2 de la Ley 25.326; datos antropométricos; resultados de estudios; datos de facturación y pagos.

⛔ Uva no trata datos de tus pacientes para ninguna finalidad propia: no los usa para publicidad, no los cede, no los comercializa y no los usa para entrenar modelos de inteligencia artificial, propios ni de terceros.

4. Obligaciones de Uva como encargada

Uva se obliga a:

1. Tratar los datos únicamente conforme a las instrucciones documentadas de la Responsable, que son las que resultan de este acuerdo y de la configuración que ella realiza dentro de la aplicación. No los aplicará ni utilizará con un fin distinto al que figura en este contrato, ni los cederá a otras personas, ni aun para su conservación (art. 25, inc. 1, Ley 25.326).
2. Guardar confidencialidad. Uva y todas las personas que intervengan en cualquier fase del tratamiento están obligadas al secreto profesional respecto de los datos, obligación que subsiste aun después de finalizada la relación (art. 10, Ley 25.326).
3. Adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos, evitando su adulteración, pérdida, consulta o tratamiento no autorizado (art. 9, Ley 25.326). Ver Anexo III.
4. Asistir a la Responsable para que pueda atender los pedidos de acceso, rectificación, actualización y supresión de sus pacientes dentro de los plazos legales (arts. 14 y 16), y para entregar copia de la historia clínica, autenticada por autoridad competente de la institución asistencial, dentro de las 48 horas de solicitada, salvo caso de emergencia (art. 14, Ley 26.529).
5. Notificar los incidentes de seguridad que afecten datos de sus pacientes, sin dilación indebida desde que tome conocimiento, describiendo qué pasó, qué datos se vieron afectados, qué medidas se tomaron y qué recomendamos hacer.
6. No subcontratar fuera de lo previsto en la cláusula 5.
7. Poner a disposición de la Responsable la información necesaria para acreditar el cumplimiento de estas obligaciones.

5. Subencargados

La Responsable autoriza de forma general a que Uva recurra a los proveedores listados en el Anexo II para prestar el servicio.

• Uva celebra con cada uno un contrato que le impone obligaciones no menos estrictas que las de este acuerdo, y responde frente a la Responsable por su actuación.
• Antes de incorporar o reemplazar un subencargado, Uva lo comunicará con una antelación mínima de treinta (30) días. La Responsable puede oponerse por motivos razonables vinculados a la protección de datos; si la oposición no puede resolverse, podrá dar de baja el servicio sin penalidad y con derecho al reembolso proporcional de lo abonado por adelantado.

6. Inteligencia artificial

Uva utiliza servicios de inteligencia artificial de terceros para extraer valores de estudios de laboratorio y preparar resúmenes de información ya registrada.

• Se envía únicamente el contenido necesario para esa tarea concreta. No se envía la historia clínica completa ni datos de otros pacientes.
• El proveedor no puede usar ese contenido para entrenar sus modelos ni para ninguna finalidad propia. La Responsable ha confirmado que el plan contratado con el proveedor de IA lo garantiza. Lo dice el propio proveedor en los Gemini API Additional Terms of Service, vigentes desde el 23 de marzo de 2026, en el apartado «How Google Uses Your Data» de los Paid Services: «Google doesn't use your prompts (including associated system instructions, cached content, and files such as images, videos, or documents) or responses to improve our products».

⛔ Esa garantía existe SÓLO en el servicio pago, y por eso Uva lo contrata así: en el gratuito, los mismos términos dicen lo contrario —que el contenido enviado se usa para desarrollar sus productos y sus tecnologías de aprendizaje automático—. Si el plan dejara de ser pago, esta cláusula del acuerdo dejaría de ser cierta.

• Todo resultado es revisado y validado por la Responsable antes de incorporarse a la historia clínica o de compartirse con un paciente. Ninguna decisión sobre una persona se funda exclusivamente en el tratamiento automatizado de sus datos.
• La Responsable puede desactivar estas funciones por paciente. Desactivadas, los datos de ese paciente no se envían al proveedor de inteligencia artificial y la carga se realiza manualmente.

Obligación de la Responsable: informar a sus pacientes sobre el uso de estas funciones y sobre la transferencia internacional de la cláusula 7, y obtener su consentimiento antes de activarlas.

7. Transferencia internacional de datos

Algunos subencargados están ubicados fuera de la República Argentina, en países que la Agencia de Acceso a la Información Pública no reconoce como de nivel adecuado de protección, entre ellos los Estados Unidos de América. El Anexo II indica la ubicación de cada uno.

El artículo 12 de la Ley 25.326 prohíbe la transferencia a países sin protección adecuada, salvo las excepciones que enumera —colaboración judicial, intercambio de datos médicos cuando lo exija el tratamiento del afectado, transferencias bancarias o bursátiles, tratados internacionales y cooperación entre organismos de inteligencia—. El consentimiento no figura entre esas excepciones legales: la habilitación por consentimiento surge del artículo 12 del Decreto 1558/2001, que dispone que la prohibición no rige cuando el titular del dato hubiera consentido expresamente la cesión.

Estas transferencias se amparan en:

1. El consentimiento expreso del titular del dato, conforme al artículo 12 del Decreto 1558/2001, que la Responsable debe obtener según la cláusula 6. Es la base principal.
2. Los términos de tratamiento de datos que cada subencargado aplica a sus clientes, que lo obligan a tratar la información únicamente conforme a las instrucciones recibidas y con deber de confidencialidad.

⚠️ Sobre las cláusulas contractuales modelo. La AAIP aprobó dos juegos, alternativos y no acumulativos: los de la Disposición DNPDP 60/2016 y los de la Resolución AAIP 198/2023 (cláusulas de la Red Iberoamericana de Protección de Datos), que no derogó a la anterior sino que agregó un segundo modelo compatible. Uva contrata a los subencargados del Anexo II por adhesión a sus términos, de modo que esos modelos no se incorporan hoy como anexo firmado con cada uno: la transferencia se ampara en los dos puntos de arriba. Uva está evaluando, con asesoramiento legal, incorporarlos donde el proveedor lo admita, y actualizará este acuerdo si lo hace.

8. Obligaciones de la Responsable

La Responsable se obliga a:

• Contar con base legítima para el tratamiento de los datos de sus pacientes, y a obtener el consentimiento libre, expreso e informado que exige el artículo 5 de la Ley 25.326, que debe constar por escrito o por medio equiparable, tratándose de datos sensibles.
• Informar a sus pacientes lo que exige el artículo 6 de la Ley 25.326: finalidad, identidad del responsable, carácter obligatorio o facultativo de los datos, consecuencias, y derechos de acceso, rectificación y supresión.
• Obtener el consentimiento informado que exigen la Ley 26.529 y el artículo 59 del Código Civil y Comercial para su actuación profesional.
• Cumplir el secreto profesional que le impone la normativa de su ejercicio.
• Inscribir su base de datos en el Registro Nacional de Bases de Datos cuando corresponda conforme al artículo 21 de la Ley 25.326.
• Impartir instrucciones lícitas. Si una instrucción suya infringiera la normativa de protección de datos, Uva se lo informará y podrá suspender su ejecución.

9. Derechos de los pacientes

Los pacientes ejercen sus derechos ante la Responsable, que es quien los conoce y quien responde ante ellos. Si un paciente se dirigiera directamente a Uva, Uva no responderá por sí: le indicará que se dirija a su profesional y se lo comunicará a la Responsable sin dilación.

10. Devolución y supresión al terminar

Terminada la relación contractual, y una vez cumplido el plazo de exportación previsto en los Términos y Condiciones, Uva suprimirá los datos personales tratados por cuenta de la Responsable.

Conforme al artículo 25, inciso 2, de la Ley 25.326, los datos deben ser destruidos, salvo que medie autorización expresa de la Responsable —cuando razonablemente se presuma la posibilidad de ulteriores encargos—, en cuyo caso podrán almacenarse por un plazo máximo de dos (2) años, con las debidas condiciones de seguridad.

⚠️ Atención de la Responsable: el artículo 18 de la Ley 26.529 le impone conservar la historia clínica por un plazo mínimo de diez (10) años desde la última actuación registrada. Ese deber es suyo y no se transfiere a Uva: antes de dar de baja la cuenta debe exportar y conservar por sus propios medios la información que la ley la obliga a guardar.

11. Responsabilidad

Cada parte responde por el incumplimiento de las obligaciones que este acuerdo pone a su cargo. Uva responde por la actuación de sus subencargados como por la propia.

Anexo I — Descripción del tratamiento

Anexo II — Subencargados

⚠️ Stripe trata datos de la profesional, no de sus pacientes: nombre, email y datos de pago de quien contrata el plan. Figura acá porque la cláusula 5 exige listar a todo subencargado, no porque vea una historia clínica. ⚠️ Mercado Pago es al revés: ahí sí viaja el nombre de la paciente que paga, y por eso la Responsable tiene que contemplarlo cuando informa a sus pacientes. ⚠️ Sentry recibe un reporte RECORTADO, no el error crudo. Antes de salir se le quitan el identificador de la paciente —la dirección viaja como /pacientes/:id/consultas—, el contenido de los formularios, la query string, las cookies, las cabeceras y el usuario. Lo hace src/lib/sentry-privado.ts, que corre tanto en el servidor como en el navegador, y hay pruebas automáticas que fallan si deja de hacerlo. ⚠️ Amplitude NO ve ningún dato de paciente, y no depende de cómo esté configurado. Recibe únicamente eventos de una lista cerrada —«se creó una ficha», «se subió un estudio»— con el plan de la cuenta, el tipo de dispositivo y la versión de la aplicación. La Responsable aparece con un código irreversible, no con su email ni con el identificador de su cuenta. La medición corre sólo en el servidor: no hay ningún componente de Amplitude en el navegador, así que no puede capturar pantallas, direcciones, formularios ni el texto de lo que se clickea. Lo garantizan src/core/analitica/eventos.ts, que sólo admite valores enumerados, y pruebas automáticas que fallan si algo fuera de esa lista intentara salir. ⚠️ Los archivos NO están en Cloudflare R2, aunque este anexo lo dijo hasta el 2026-09-07. El almacenamiento de documentos y estudios corre sobre MinIO, en el mismo servidor que la aplicación, así que no es un subencargado aparte: queda dentro de la fila del proveedor de infraestructura. Mover los archivos a R2 está previsto para cuando el volumen lo justifique (docs/INFRAESTRUCTURA.md); el día que se contrate hay que agregar su fila acá antes de migrar, no después. ⚠️ Linode aloja TODO: la aplicación, la base, los archivos y las copias de seguridad. No hay un segundo proveedor para los respaldos (decisión de la Responsable, 2026-09-07). Es un solo subencargado en vez de dos, y por eso su fila abarca las cuatro cosas. ⚠️ Google Calendar recibe el NOMBRE de la paciente y el horario de la consulta, que es lo que Uva escribe en el evento («Ana Ruiz — Primera consulta»). La Responsable puede cambiarlo a un título genérico («Consulta») desde Configuración → Integraciones, pero el valor por defecto incluye el nombre. Sólo aplica si conectó la integración, que es opcional.

Anexo III — Medidas de seguridad

Siguiendo las medidas recomendadas por la Resolución AAIP 47/2018:

• Control de acceso: autenticación de usuarios y segregación de roles. Cada profesional accede únicamente a los datos de sus propios pacientes.
• Cifrado: de las comunicaciones en tránsito (TLS) y de las contraseñas almacenadas (hash con sal, nunca en claro). Los tokens de acceso a servicios de terceros —calendario y cobros— se guardan cifrados con AES-256-GCM. Las copias de seguridad se cifran con restic en el propio servidor, con una clave que no se guarda junto a ellas. El disco donde vive la base de datos está cifrado en reposo, según lo provisto por Linode, el proveedor de infraestructura.
• Respaldo y recuperación: copias de seguridad diarias y cifradas, que se conservan 30 diarias y 13 semanales —unos tres meses—.

⚠️ Hoy las copias se guardan en el mismo servidor que la base (decisión de la Responsable, 2026-09-07: alojar todo en un proveedor único por ahora). Eso protege contra un borrado accidental o una actualización que salga mal, y no contra la pérdida del servidor. Uva cuenta con la restauración probada como procedimiento y la ejecuta bajo pedido; su ejecución programada y el envío de las copias a un segundo proveedor están previstos y todavía no activados.

• Registro de actividad: trazabilidad de los accesos y de las operaciones realizadas.
• Gestión de vulnerabilidades: revisión y actualización de los componentes del sistema.
• Destrucción segura de la información al vencer los plazos de conservación.
• Gestión de incidentes: detección, evaluación, contención, respuesta y notificación conforme a la cláusula 4.5.

Normas citadas

• Ley 25.326, arts. 2, 5, 6, 9, 10, 12, 14, 16, 21 y 25
• Decreto 1558/2001, reglamentario de la Ley 25.326, arts. 12 y 25
• Ley 26.529, arts. 14 y 18
• Código Civil y Comercial de la Nación, art. 59
• Disposición DNPDP 60/2016 y Resolución AAIP 198/2023 (cláusulas contractuales modelo)
• Resolución AAIP 47/2018 (medidas de seguridad recomendadas)