Contrato de encargado del tratamiento para psicólogos y clínicas

Contrato conforme al artículo 28 del RGPD. Se acepta en línea al activar el espacio profesional de Spectra y queda registrada la fecha y la versión aceptadas.

Última actualización: 26 de septiembre de 2026

1. Partes

• Responsable del tratamiento: el psicólogo o la clínica que usa el espacio profesional de Spectra ("el Profesional"), identificado con los datos de su cuenta.
• Encargado del tratamiento: Samuel Expósito Ruiz, titular de Spectra (emotionalsupportspectra.com), con contacto en support@emotionalsupportspectra.com ("Spectra").

2. Objeto

Spectra trata datos personales por cuenta del Profesional solo para prestarle el servicio de su espacio profesional:

• ficha de sus pacientes vinculados;
• notas y registro de sesiones;
• tareas entre sesiones;
• agenda y recordatorios de citas;
• informes y resúmenes;
• el asistente de preparación de casos.

Los datos que el propio paciente genera al usar Spectra como usuario (conversaciones, check-ins, test de bienestar) los trata Spectra como responsable, con el consentimiento explícito del paciente. Una parte se comparte con el Profesional solo si el paciente acepta la vinculación.

3. Duración

Mientras el Profesional use el espacio profesional. Al terminar se aplica la cláusula 9.

4. Datos y personas afectadas

• Personas afectadas: los pacientes que el Profesional vincula.
• Tipos de datos: identificativos (nombre, correo), datos de salud (notas de sesión, tareas, evolución, citas) y los que el Profesional decida registrar.

5. Obligaciones de Spectra

Spectra se compromete a:

1. Tratar los datos solo siguiendo las instrucciones documentadas del Profesional, que son las funciones del servicio. No los usará para fines propios ni para entrenar modelos de IA.
2. Garantizar que las personas autorizadas a tratar los datos tienen un compromiso de confidencialidad.
3. Aplicar las medidas de seguridad del Anexo II (art. 32 RGPD).
4. Subencargados: el Profesional autoriza de forma general a los del Anexo I. Spectra avisará con 15 días de antelación de cualquier cambio, por correo o en la app, y el Profesional podrá oponerse. Spectra impondrá a cada subencargado las mismas obligaciones de protección de datos.
5. Ayudar al Profesional a atender los derechos de los pacientes (acceso, supresión, etc.) y, cuando proceda, en las evaluaciones de impacto.
6. Notificar al Profesional cualquier brecha de seguridad que afecte a sus datos sin dilación indebida y, en todo caso, en menos de 48 horas desde que tenga constancia, con la información necesaria para que el Profesional pueda notificarla a la AEPD.
7. Poner a disposición del Profesional la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con aviso previo.
8. No transferir datos fuera del Espacio Económico Europeo salvo con las garantías del capítulo V del RGPD (ver Anexo I).

6. Obligaciones del Profesional

1. Contar con una base legal para tratar los datos de sus pacientes e informarles de que usa Spectra.
2. Cumplir su secreto profesional y la normativa sanitaria aplicable, incluida la relativa a la historia clínica y sus plazos de conservación.
3. Vincular solo a personas que son sus pacientes. No usar el Premium incluido para personas que no lo son.
4. Mantener sus credenciales de acceso en secreto y avisar a Spectra de cualquier acceso indebido.

7. Registro y confidencialidad

Spectra mantiene un registro de las actividades de tratamiento que realiza por cuenta del Profesional (art. 30.2 RGPD) y trata toda la información del Profesional y de sus pacientes como confidencial, también después de terminar el contrato.

8. Responsabilidad

Cada parte responde de los daños que cause por incumplir este contrato o el RGPD, conforme al artículo 82 del RGPD.

9. Fin del contrato

Cuando el Profesional deja de usar el espacio profesional o elimina su cuenta:

• Mientras la cuenta siga activa, el Profesional puede descargar en PDF la historia de cada paciente desde «Pacientes anteriores».
• Si el Profesional lo pide, Spectra le devolverá los datos tratados por su cuenta en un formato estructurado o los suprimirá en un plazo de 30 días.
• Spectra solo conservará, bloqueado, lo que exija la ley.

10. Ley aplicable y jurisdicción

Este contrato se rige por la legislación española y el RGPD. Para cualquier conflicto, las partes se someten a los juzgados y tribunales de Madrid.

Anexo I · Subencargados autorizados

Anexo II · Medidas de seguridad

• Conexiones cifradas (HTTPS/TLS) en todo el servicio.
• Datos cifrados en reposo por el proveedor de base de datos, alojados en la Unión Europea.
• Seguridad a nivel de fila activada en todas las tablas: la base de datos solo es accesible desde el servidor de Spectra.
• Acceso por roles: cada profesional solo ve a sus pacientes vinculados; las clínicas y empresas solo ven cifras agregadas.
• Contraseñas guardadas con hash, nunca en claro.
• Protección frente a peticiones falsificadas desde otros sitios (CSRF), comprobación del origen de las peticiones y límites de uso.
• Correos sin datos de salud.
• Procedimiento documentado de gestión de brechas de seguridad, con aviso al Profesional en menos de 48 horas.
• Dependencias del software revisadas con alertas automáticas de seguridad.