Versión vigente: 1.3. Este documento reproduce el texto base del Acuerdo (Versión 1.0)
seguido de las tres Enmiendas que lo modifican, publicadas como Anexos. Las Enmiendas
prevalecen sobre el texto base en aquello que modifican, y las cláusulas afectadas llevan un aviso en su
encabezado. No se publica todavía un texto refundido: cada Enmienda indica con precisión qué sustituye.
Publicado el 31 de agosto de 2026.
Psicolat — Plataforma de gestión clínica en salud mental Versión 1.0 — Publicada y vigente desde el 31 de agosto de 2026
Este Acuerdo de Tratamiento de Datos Personales (el «Acuerdo» o «DPA«) se celebra entre:
EDIN SpA, sociedad por acciones constituida conforme a las leyes de la República de Chile, Rol Único Tributario N° 76.622.161-0, domiciliada en Antonio Bellet 193, oficina 1210, piso 12, comuna de Providencia, Santiago de Chile, representada por don Mauricio Felipe Haquin Bravo, cédula nacional de identidad N° 12.247.610-3, en adelante «Psicolat» o el «Encargado«; y
El Cliente, esto es, el profesional de la salud mental o la persona jurídica prestadora de servicios de salud identificada en el proceso de registro o en la orden de servicio correspondiente, en adelante el «Responsable«.
Psicolat y el Responsable se denominarán conjuntamente las «Partes» e individualmente una «Parte«.
PRIMERO. Psicolat opera una plataforma de software como servicio («Plataforma«) que provee a profesionales e instituciones de salud mental herramientas de ficha clínica electrónica, agenda, mensajería, generación de documentos clínicos, cobros y funcionalidades de inteligencia artificial asistencial.
SEGUNDO. En la prestación del servicio, Psicolat trata por cuenta del Responsable datos personales de los pacientes de éste, incluidos datos personales relativos a la salud, que tienen el carácter de datos sensibles conforme a la Ley N° 21.719 sobre Protección de Datos Personales y demás normativa aplicable.
TERCERO. El presente Acuerdo regula dicho tratamiento por encargo, de conformidad con la Ley N° 21.719, la Ley N° 20.584 sobre Derechos y Deberes de los Pacientes, el Decreto Supremo N° 41 de 2012 del Ministerio de Salud (Reglamento sobre Fichas Clínicas), y las mejores prácticas internacionales en la materia, incluido el estándar del artículo 28 del Reglamento (UE) 2016/679 («GDPR»), utilizado como referencia de buenas prácticas.
CUARTO. Las Partes reconocen que el paciente es el titular de los datos contenidos en su ficha clínica, que la ficha clínica es un instrumento sometido a un régimen legal de conservación y reserva, y que el deber legal de conservación de la ficha clínica recae en el prestador de salud que actúa como Responsable.
Para los efectos de este Acuerdo, los siguientes términos tendrán el significado que se indica. Los términos definidos en singular incluyen el plural y viceversa.
1.1. «Legislación de Protección de Datos»: la Ley N° 21.719, sus reglamentos y las normas e instrucciones que dicte la Agencia de Protección de Datos Personales (la «Agencia«); la Ley N° 20.584 y el D.S. N° 41/2012 del Ministerio de Salud en lo relativo a la ficha clínica; y toda otra norma de protección de datos personales que resulte aplicable al tratamiento objeto de este Acuerdo.
1.2. «Datos del Cliente»: los datos personales que el Responsable, sus usuarios autorizados o sus pacientes ingresan, cargan o generan en la Plataforma en el contexto de la relación clínica, y que Psicolat trata por cuenta del Responsable, incluyendo la Ficha Clínica, la mensajería clínica, los documentos clínicos y sus adjuntos.
1.3. «Datos de Cuenta»: los datos personales del Responsable y de sus usuarios autorizados que Psicolat trata para fines propios como responsable de tratamiento (registro, autenticación, facturación, cobranza, soporte, seguridad de la Plataforma, cumplimiento legal y comunicaciones del servicio). Los Datos de Cuenta se rigen por la Política de Privacidad de Psicolat y no forman parte del encargo regulado en este Acuerdo.
1.4. «Ficha Clínica»: el instrumento en que se registra el conjunto de antecedentes relativos a la salud del paciente, en los términos de la Ley N° 20.584 y del D.S. N° 41/2012.
1.5. «Titular» o «Paciente»: la persona natural a la que se refieren los Datos del Cliente.
1.6. «Instrucción Documentada»: toda instrucción del Responsable impartida conforme a la Cláusula 5.
1.7. «Subencargado»: todo tercero contratado por Psicolat que trate Datos del Cliente por cuenta del Responsable.
1.8. «Vulneración de Seguridad»: toda violación de la seguridad que ocasione la destrucción, pérdida, alteración accidental o ilícita de Datos del Cliente, o la comunicación o acceso no autorizados a los mismos.
1.9. «Proveedor de IA del Sistema»: el servicio de inteligencia artificial provisto por defecto por Psicolat conforme a la Cláusula 12.2.
1.10. «Lista de IA Elegibles»: la lista de proveedores de inteligencia artificial alternativos aprobados por Psicolat y publicada conforme a la Cláusula 12.3.
1.11. «Días Hábiles»: días de lunes a viernes, excluidos los feriados legales en Chile.
1.12. «Términos de Servicio» o «ToS»: los términos y condiciones generales de uso de la Plataforma aceptados por el Responsable.
2.1. Objeto. Este Acuerdo regula el tratamiento de los Datos del Cliente que Psicolat realiza por cuenta y bajo las instrucciones del Responsable con ocasión de la prestación del servicio. La descripción detallada del tratamiento (objeto, duración, naturaleza, finalidades, categorías de datos y de titulares) consta en el Anexo C, que forma parte integrante de este Acuerdo.
2.2. Jerarquía. Este Acuerdo forma parte del contrato de servicio entre las Partes. En caso de conflicto en materia de tratamiento de datos personales, el orden de prelación será: (i) este DPA; (ii) sus Anexos; (iii) los Términos de Servicio; y (iv) cualquier otro documento del servicio. Nada de lo dispuesto en los ToS podrá interpretarse en el sentido de reducir las protecciones establecidas en este Acuerdo.
2.3. Perfeccionamiento. Este Acuerdo se entiende celebrado, conforme a la Ley N° 19.799 sobre documentos electrónicos y firma electrónica: (a) mediante la aceptación electrónica de los Términos de Servicio, que incorpora la aceptación de este DPA; o (b) mediante firma electrónica simple o avanzada de un ejemplar de este Acuerdo, cuando el Responsable lo solicite o cuando se trate de una versión negociada para clientes institucionales. Psicolat pondrá a disposición del Responsable, en todo momento, una copia descargable de la versión vigente del DPA.
2.4. Versión institucional. Los clientes institucionales podrán suscribir una versión negociada de este Acuerdo. En ausencia de versión negociada, rige íntegramente el presente texto.
⚠️ Texto modificado por enmienda. Los literales (b) y (c) de la Cláusula 3.2 fueron modificados por la Enmienda N°1. El texto en vigor es el del Anexo correspondiente, al final de este documento.
3.1. Regla general. Respecto de los Datos del Cliente, el Responsable determina los fines y medios del tratamiento y Psicolat actúa como Encargado, tratando dichos datos exclusivamente por cuenta del Responsable, conforme a sus Instrucciones Documentadas y a este Acuerdo. Psicolat no adquiere titularidad ni derecho alguno sobre la Ficha Clínica ni sobre los datos de los Pacientes.
3.2. Rol dual de Psicolat. Psicolat actúa como responsable de tratamiento, fuera del ámbito de este Acuerdo, respecto de: (a) los Datos de Cuenta; (b) los datos tratados en el directorio y marketplace de profesionales conforme a la Cláusula 22; (c) las reseñas y valoraciones de profesionales; y (d) los datos estrictamente necesarios para la seguridad, operación, medición y facturación de la Plataforma. Dichos tratamientos se rigen por la Política de Privacidad de Psicolat y por la Legislación de Protección de Datos.
3.3. Titular. El Paciente es el titular de los datos contenidos en su Ficha Clínica y conserva íntegramente los derechos que le reconocen la Ley N° 21.719 y la Ley N° 20.584. Nada en este Acuerdo limita ni condiciona tales derechos.
3.4. Exceso de instrucciones. Si Psicolat tratare Datos del Cliente para fines propios o excediendo las Instrucciones Documentadas, será considerada responsable de dicho tratamiento para todos los efectos legales, sin perjuicio de las demás responsabilidades que procedan conforme a este Acuerdo.
3.5. Deber de conservación. Las Partes dejan constancia de que el deber legal de conservación de la Ficha Clínica por el plazo mínimo de quince (15) años contados desde la última anotación (artículos 11 y 12 del D.S. N° 41/2012) recae en el prestador de salud que actúa como Responsable. Psicolat provee las herramientas de almacenamiento, exportación y custodia descritas en las Cláusulas 16 y 17 para que el Responsable cumpla dicho deber, en los términos y por los períodos expresamente pactados en este Acuerdo.
El tratamiento por encargo se describe en el Anexo C, que incluye: (a) objeto y finalidades; (b) duración; (c) naturaleza del tratamiento y operaciones comprendidas; (d) categorías de datos, incluidos datos sensibles de salud y datos de niños, niñas y adolescentes; y (e) categorías de titulares. El Responsable declara que las categorías descritas en el Anexo C reflejan los datos que se propone tratar a través de la Plataforma y se obliga a no ingresar categorías de datos no comprendidas en dicho Anexo sin acuerdo previo y escrito de las Partes.
5.1. Psicolat tratará los Datos del Cliente únicamente conforme a las Instrucciones Documentadas del Responsable. Constituyen Instrucciones Documentadas: (a) este Acuerdo y sus Anexos; (b) el uso y configuración de las funcionalidades de la Plataforma por el Responsable y sus usuarios autorizados; y (c) las instrucciones adicionales impartidas por escrito al canal indicado en la Cláusula 28.4, en la medida en que sean compatibles con las funcionalidades del servicio.
5.2. Instrucciones adicionales. Las instrucciones que excedan las funcionalidades estándar de la Plataforma podrán estar sujetas a factibilidad técnica y a cargos razonables, que Psicolat informará antes de ejecutarlas.
5.3. Deber de advertencia. Psicolat informará al Responsable, sin ejecutarla mientras subsista la objeción, si a su juicio una instrucción infringe la Legislación de Protección de Datos u otra norma aplicable. La suspensión de la instrucción objetada no suspende la prestación del resto del servicio.
5.4. Obligación legal. Psicolat podrá tratar Datos del Cliente sin instrucción del Responsable cuando una ley o una orden de autoridad competente se lo exija. En tal caso, informará previamente al Responsable de dicha exigencia, salvo que la misma ley u orden lo prohíba. Ante requerimientos de autoridades respecto de Datos del Cliente, Psicolat: (a) verificará la validez formal del requerimiento; (b) notificará al Responsable sin dilación, salvo prohibición legal; (c) entregará únicamente la información estrictamente requerida; y (d) dejará registro del requerimiento y de lo entregado.
El Responsable declara y se obliga a:
6.1. Tratar los datos de sus Pacientes al amparo de una base de licitud válida y cumplir, en su calidad de responsable, la Legislación de Protección de Datos, incluyendo los deberes de información, la atención de los derechos de los titulares y, cuando corresponda, la notificación de vulneraciones a la Agencia y a los titulares.
6.2. Recabar y conservar los consentimientos y autorizaciones que resulten necesarios, incluyendo, tratándose de Pacientes menores de edad, el consentimiento o autorización de su representante legal cuando la ley lo exija, con especial observancia del régimen reforzado aplicable a los datos de niños, niñas y adolescentes bajo la Ley N° 21.719.
6.3. Registrar en la Plataforma información veraz, actualizada y pertinente, y utilizar la Plataforma conforme a la ley, a la ética profesional y al secreto profesional que rige su actividad.
6.4. Impartir únicamente instrucciones lícitas, y responder por los datos y contenidos que él, sus usuarios autorizados o sus Pacientes ingresen a la Plataforma.
6.5. Administrar diligentemente sus credenciales y las de sus usuarios autorizados, activar las medidas de seguridad disponibles —incluida la autenticación multifactor, cuya activación Psicolat recomienda expresamente— y notificar de inmediato todo uso no autorizado de su cuenta.
6.6. Designar en el proceso de incorporación, y mantener actualizado, un sucesor o custodio de registros para el evento de muerte, incapacidad o imposibilidad sobreviniente del Responsable persona natural, conforme a la Cláusula 17.4.
6.7. Exportar y conservar sus registros clínicos conforme a las Cláusulas 16 y 17, en cumplimiento de su deber legal de conservación.
6.8. Mantener indemne a Psicolat en los términos de la Cláusula 23.5.
Psicolat se obliga a:
7.1. Tratar los Datos del Cliente conforme a este Acuerdo, a las Instrucciones Documentadas y a la Legislación de Protección de Datos, absteniéndose de utilizarlos para fines propios, de cederlos y de comercializarlos.
7.2. Mantener un registro de las actividades de tratamiento efectuadas por cuenta de sus clientes, con el contenido exigido por la Legislación de Protección de Datos, a disposición de la Agencia, a más tardar a la entrada en vigencia de la Ley N° 21.719.
7.3. Designar y mantener un punto de contacto en materia de privacidad y seguridad (Cláusula 28.4) y las políticas internas de protección de datos exigibles a un encargado de tratamiento.
7.4. Garantizar que el personal autorizado para tratar Datos del Cliente cuente con formación adecuada en protección de datos y seguridad de la información, y acceda a los datos bajo el principio de necesidad de conocer.
7.5. Cooperar de buena fe con el Responsable en el cumplimiento de las obligaciones que a éste imponen los artículos sobre seguridad, notificación de vulneraciones, evaluación de impacto y consulta previa de la Legislación de Protección de Datos, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
8.1. Psicolat garantiza que toda persona autorizada para tratar Datos del Cliente —empleados y contratistas— se encuentra sujeta a un deber de confidencialidad de fuente contractual o legal, que comprende la reserva propia de la información de salud conforme a la Ley N° 20.584, y que subsiste indefinidamente tras el término de la relación laboral o contractual respectiva.
8.2. Acceso administrativo excepcional (break-glass). El personal de Psicolat no accede al contenido clínico en la operación normal del servicio. Todo acceso administrativo excepcional a Datos del Cliente se realiza mediante un procedimiento reforzado que exige: (a) justificación registrada de la causa (soporte solicitado por el Responsable, incidente de seguridad u obligación legal); (b) autorización de duración limitada con expiración automática; (c) registro íntegro del acceso en el log de auditoría inmutable; y (d) notificación al Responsable dentro de los cinco (5) Días Hábiles siguientes, salvo que la notificación deba diferirse por razones de investigación de un incidente o por prohibición legal, caso en el cual se practicará tan pronto cese el impedimento.
8.3. El deber de confidencialidad de esta Cláusula sobrevive al término de este Acuerdo.
9.1. Psicolat implementa y mantiene las medidas técnicas y organizativas descritas en el Anexo B, apropiadas al riesgo del tratamiento de datos sensibles de salud, considerando el estado de la técnica, la naturaleza, alcance y fines del tratamiento, y alineadas con los marcos ISO/IEC 27001, ISO 27799 y las exigencias de seguridad de la Legislación de Protección de Datos. Dichas medidas incluyen, entre otras: cifrado de los datos en reposo (AES-256) y en tránsito (TLS 1.2 o superior), gestión centralizada de llaves con rotación, control de acceso basado en titularidad del registro, autenticación multifactor obligatoria para el personal administrativo de Psicolat, registro de auditoría con réplica inmutable, respaldos cifrados y segregación de ambientes con uso exclusivo de datos sintéticos fuera de producción.
9.2. Evolución sin degradación. Psicolat podrá actualizar las medidas del Anexo B en función de la evolución tecnológica y de las amenazas, siempre que las modificaciones no reduzcan el nivel general de seguridad comprometido.
9.3. Alcance declarado. La mensajería de la Plataforma se protege mediante cifrado en tránsito y en reposo; no constituye un sistema de cifrado de extremo a extremo. Psicolat declara sus controles de seguridad en sus términos exactos y se abstiene de atribuirse certificaciones o propiedades que no posea.
9.4. Psicolat evaluará periódicamente la eficacia de sus medidas de seguridad y mantendrá procesos de gestión de vulnerabilidades y de aplicación de actualizaciones de seguridad sobre su infraestructura.
10.1. Autorización general. El Responsable autoriza de manera general la contratación de los Subencargados listados en el Anexo A. Psicolat mantendrá la lista actualizada y públicamente disponible.
10.2. Cambios. Psicolat notificará al Responsable toda incorporación o sustitución de Subencargados con al menos treinta (30) días corridos de anticipación, por medios que permitan su conocimiento efectivo (correo electrónico registrado y/o aviso en la Plataforma).
10.3. Objeción. El Responsable podrá objetar fundadamente el cambio dentro del plazo de preaviso, invocando motivos razonables relativos a la protección de datos. Si las Partes no alcanzan una solución (incluida la no aplicación del nuevo Subencargado al Responsable, cuando sea técnicamente posible), el Responsable podrá terminar el servicio afectado sin penalidad, conservando íntegro su derecho de exportación conforme a la Cláusula 16.
10.4. Flow-down y responsabilidad. Psicolat impondrá a cada Subencargado, por contrato escrito, obligaciones de protección de datos sustancialmente equivalentes a las de este Acuerdo, incluyendo confidencialidad, seguridad y restricciones de finalidad, y responderá ante el Responsable por el cumplimiento de las obligaciones de sus Subencargados como si fueran propias.
10.5. Emergencia. Excepcionalmente, cuando la sustitución urgente de un Subencargado sea necesaria para mantener la seguridad o la continuidad del servicio, Psicolat podrá efectuarla notificando al Responsable a la brevedad y quedando a salvo el derecho de objeción de la Cláusula 10.3.
⚠️ Texto modificado por enmienda. A la Cláusula 11.1 se le agregó un inciso final por la Enmienda N°2. El texto en vigor es el del Anexo correspondiente, al final de este documento.
11.1. Residencia. Los Datos del Cliente se alojan y procesan en infraestructura de Amazon Web Services en la región us-east-1 (Norte de Virginia, Estados Unidos de América), incluidos el cómputo, el almacenamiento de documentos, los respaldos y sus réplicas, que no abandonan dicha región.
11.2. Régimen de transferencia. El Responsable reconoce y autoriza que el tratamiento descrito en la Cláusula 11.1 implica una transferencia internacional de datos hacia los Estados Unidos de América. Dicha transferencia se ampara en las garantías contractuales suscritas entre Psicolat y su proveedor de infraestructura —que imponen obligaciones de protección de datos, seguridad, confidencialidad y restricción de finalidad sustancialmente equivalentes a las de este Acuerdo— y en el presente Acuerdo, en cuanto instrumento que documenta el encargo y sus salvaguardas, de conformidad con el régimen de transferencias internacionales de la Ley N° 21.719.
11.3. Adaptación regulatoria. Si la Agencia dictare normas, modelos de cláusulas o decisiones de adecuación aplicables a las transferencias internacionales comprendidas en este Acuerdo, Psicolat adoptará e incorporará dichos instrumentos dentro de un plazo razonable, y este Acuerdo se entenderá complementado por ellos sin necesidad de nueva suscripción, en la medida en que no reduzcan las protecciones aquí pactadas.
11.4. Nuevos destinos. Psicolat no transferirá Datos del Cliente a países o regiones distintos de los declarados en este Acuerdo y en el Anexo A sin sujetarse al procedimiento de cambio de Subencargados de la Cláusula 10.
⚠️ Texto modificado por enmienda. La Cláusula 12.2 fue reemplazada íntegramente por la Enmienda N°2; a la 12.4 se le agregó un inciso final y se incorporó la Cláusula 12.7 por la Enmienda N°3. El texto en vigor es el del Anexo correspondiente, al final de este documento.
12.1. Carácter accesorio y opcional. Las funcionalidades de IA son herramientas de apoyo a la labor del profesional. El Responsable puede desactivarlas en todo momento para su cuenta (opt-out), sin afectar el resto del servicio.
12.2. Proveedor de IA del Sistema. El servicio de IA provisto por defecto opera sobre infraestructura de inferencia contratada por Psicolat dentro de su mismo entorno de nube (AWS, región us-east-1), bajo condiciones contractuales que prohíben el uso de los datos enviados para el entrenamiento o mejora de modelos del proveedor y que garantizan su confidencialidad.
12.3. Proveedores elegidos por el Responsable. El Responsable podrá optar por utilizar, en reemplazo del Proveedor de IA del Sistema, un proveedor de la Lista de IA Elegibles que Psicolat publica y mantiene. Solo integran dicha lista proveedores que cuentan con compromisos contractuales de no-entrenamiento y confidencialidad verificados por Psicolat, y la Plataforma restringe técnicamente la elección a esa lista. La elección de un proveedor de la lista por el Responsable constituye una Instrucción Documentada; Psicolat responde por la correcta configuración del envío conforme a la Cláusula 12.4 y por la verificación indicada, y el Responsable asume la decisión de elección entre los proveedores elegibles.
12.4. Minimización y anonimización. Antes de todo envío de contexto clínico a un proveedor de IA, la Plataforma aplica un proceso de minimización y anonimización de tres capas: (a) lista blanca de campos transmisibles; (b) supresión de los datos identificativos del Paciente; y (c) barrido automatizado de datos personales en el texto libre. Psicolat evalúa periódicamente el riesgo de reidentificación de este proceso y lo ajusta conforme a sus resultados.
12.5. Supervisión humana. El contenido generado por la IA es orientativo, se presenta separado del registro clínico y no se incorpora a la Ficha Clínica sin la revisión y decisión expresa del profesional. La responsabilidad por el acto clínico, por el diagnóstico y por el contenido finalmente incorporado a la Ficha Clínica corresponde exclusivamente al profesional tratante. Las funcionalidades de IA de la Plataforma no constituyen un dispositivo de diagnóstico ni sustituyen el juicio clínico.
12.6. Prohibición de entrenamiento. Psicolat no utiliza los Datos del Cliente para entrenar, ajustar o mejorar modelos de inteligencia artificial, propios o de terceros, ni para mejorar sus productos mediante análisis de contenido clínico, ni siquiera en forma agregada. Toda excepción a esta prohibición requeriría la modificación previa de este Acuerdo y la definición de un estándar de anonimización irreversible verificable.
13.1. Corresponde al Responsable atender las solicitudes de derechos de sus Pacientes (acceso, rectificación, supresión, oposición, portabilidad y bloqueo) dentro de los plazos legales. Psicolat asistirá al Responsable mediante: (a) las funcionalidades de autoservicio de la Plataforma, que incluyen la exportación de la ficha por Paciente en formatos PDF y JSON estructurado, la rectificación mediante edición del registro y la supresión de registros; y (b) asistencia de su equipo, para lo no cubierto por autoservicio —incluida la limitación o bloqueo del tratamiento de un registro—, dentro de un plazo máximo de diez (10) Días Hábiles desde la solicitud del Responsable, o de setenta y dos (72) horas en casos urgentes debidamente calificados.
13.2. Contacto directo del Titular. Si un Paciente dirige una solicitud de derechos directamente a Psicolat respecto de Datos del Cliente, Psicolat no la resolverá en cuanto al fondo: la redirigirá al Responsable sin dilación indebida e informará de ello al solicitante, salvo obligación legal en contrario.
13.3. Especialidad de la ficha clínica. El acceso del Paciente a su Ficha Clínica y la entrega de copias se rigen además por la Ley N° 20.584 y el D.S. N° 41/2012. En caso de conflicto entre una solicitud de supresión y el deber legal de conservación de la Ficha Clínica, prevalece la conservación: el registro no se elimina antes del vencimiento del plazo legal, sin perjuicio del derecho del Paciente a obtener el bloqueo o la limitación del tratamiento del registro durante dicho período, que la Plataforma permite ejecutar conforme a la Cláusula 13.1.
13.4. Costos. La asistencia descrita está incluida en el servicio. Solicitudes de asistencia manifiestamente desproporcionadas o masivas podrán dar lugar a cargos razonables, informados previamente.
14.1. Psicolat proporcionará al Responsable, a su requerimiento, la información razonablemente necesaria —relativa a la naturaleza del tratamiento, las medidas de seguridad y los flujos de datos de la Plataforma— para que el Responsable realice evaluaciones de impacto en protección de datos y, en su caso, consultas previas a la Agencia.
14.2. Cada Parte cooperará de buena fe con la Agencia, con la Superintendencia de Salud y con las demás autoridades competentes en el ámbito de sus respectivas responsabilidades, y se informarán recíprocamente, en cuanto la ley lo permita, de toda fiscalización o requerimiento de autoridad que afecte el tratamiento regulado por este Acuerdo.
15.1. Plazo. Psicolat notificará al Responsable toda Vulneración de Seguridad que afecte Datos del Cliente sin dilación indebida y, a más tardar, dentro de las cuarenta y ocho (48) horas siguientes a haber tomado conocimiento de ella, por el canal de contacto registrado del Responsable.
15.2. Contenido. La notificación incluirá, en la medida en que la información esté disponible: (a) la naturaleza de la vulneración; (b) las categorías y el número aproximado de titulares y de registros afectados; (c) las consecuencias probables; (d) las medidas adoptadas o propuestas para mitigar sus efectos; y (e) un punto de contacto. Si no fuere posible entregar toda la información simultáneamente, se proporcionará por fases, sin dilación indebida, hasta completar la investigación.
15.3. Cooperación. Psicolat adoptará sin demora las medidas razonables de contención y mitigación, cooperará con el Responsable en el cumplimiento de sus deberes de notificación a la Agencia y de comunicación a los titulares —deberes que, respecto de los Datos del Cliente, corresponden al Responsable—, y le proporcionará la información necesaria al efecto.
15.4. No sustitución y no admisión. Psicolat no notificará a la Agencia ni comunicará a los titulares una Vulneración de Seguridad por cuenta del Responsable, salvo obligación legal propia o instrucción escrita del Responsable. La notificación de una vulneración no constituye reconocimiento de culpa ni de responsabilidad.
15.5. Registro de incidentes. Psicolat mantendrá un registro interno de todos los incidentes de seguridad que afecten Datos del Cliente, comunicados o no, con su evaluación y medidas adoptadas, disponible para el Responsable en lo que a sus datos concierne y para la autoridad competente conforme a la ley.
15.6. Subencargados. Los plazos de esta Cláusula se aplican igualmente a las vulneraciones ocurridas en Subencargados, contados desde que Psicolat tome conocimiento de ellas; los contratos con Subencargados les imponen deberes de notificación inmediata a Psicolat.
16.1. Durante la vigencia del servicio. Psicolat conserva los Datos del Cliente mientras la cuenta permanezca activa. El Responsable dispone en todo momento de la exportación completa y de autoservicio de sus registros, por Paciente o de forma masiva, en formatos PDF (representación documental) y JSON estructurado (portabilidad e interoperabilidad).
16.2. Término del servicio — período de gracia. Terminada la relación de servicio por cualquier causa, la cuenta ingresa a un período de gracia de treinta (30) días corridos con acceso de solo lectura y exportación, sin costo, durante el cual el Responsable puede descargar íntegramente sus registros.
16.3. Período de decisión y régimen de avisos. Vencido el período de gracia se inicia un período de decisión de ciento cincuenta (150) días corridos, durante el cual los Datos del Cliente se conservan en almacenamiento seguro y el Responsable mantiene disponible la exportación. Durante este período, Psicolat enviará al Responsable al menos tres (3) avisos por al menos dos medios de contacto registrados (aproximadamente a los días 30, 90 y 140), requiriéndole optar entre: (a) exportar la totalidad de sus registros; o (b) contratar el servicio de custodia extendida de la Cláusula 16.4.
16.4. Custodia extendida. Psicolat ofrece un servicio de custodia de registros clínicos posterior al término del servicio, sujeto a la tarifa vigente, que comprende conservación cifrada, exportación bajo demanda y mantención de la trazabilidad, por el período que el Responsable contrate, hasta el vencimiento del plazo legal de conservación aplicable.
16.5. Purga certificada. Transcurrido el período de decisión sin que el Responsable haya contratado la custodia extendida, y habiéndose practicado los avisos de la Cláusula 16.3, Psicolat procederá a la eliminación definitiva de los Datos del Cliente. La eliminación: (a) nunca se practicará antes de ciento ochenta (180) días corridos contados desde el término del servicio; (b) irá precedida de la generación de un paquete de exportación completo (PDF + JSON) que permanecerá disponible para descarga del Responsable hasta la fecha de purga; y (c) será documentada mediante un certificado de eliminación que identificará el proceso, su alcance, la fecha de ejecución y la fecha de expiración de los respaldos remanentes, con registro en el log de auditoría. El Responsable declara comprender y aceptar que, ejercida la purga conforme a esta Cláusula, la conservación ulterior de los registros por el plazo legal es de su exclusiva responsabilidad sobre la base de las exportaciones puestas a su disposición.
16.6. Purga por instrucción. El Responsable podrá instruir por escrito la eliminación anticipada de registros o de la totalidad de su cuenta. La instrucción exigirá confirmación expresa y advertencia sobre el deber legal de conservación, e irá precedida de la puesta a disposición de la exportación correspondiente. Psicolat ejecutará la instrucción y emitirá el certificado de la Cláusula 16.5(c). La decisión de eliminar registros clínicos dentro del plazo legal de conservación es del Responsable y bajo su exclusiva responsabilidad.
16.7. Respaldo remanente. Los datos eliminados persisten en los respaldos cifrados hasta la expiración de su ciclo de vida, que no excede de treinta (30) días corridos, período durante el cual permanecen aislados, fuera de todo uso operativo y protegidos por los controles del Anexo B, y a cuyo término se eliminan definitivamente.
16.8. Retención legal de evidencias (legal hold). Cuando una obligación legal, una orden de autoridad o la defensa de derechos en un procedimiento en curso exija conservar determinados Datos del Cliente, Psicolat los conservará bloqueados, limitados a dicha finalidad, por el tiempo estrictamente necesario, informando al Responsable salvo prohibición legal.
16.9. Registros de trazabilidad. Los registros de auditoría de acceso a la Ficha Clínica se conservan, con réplica inmutable, mientras los registros a los que se refieren permanezcan alojados en la Plataforma, y se ponen a disposición del Responsable a su requerimiento en lo que a sus datos concierne.
17.1. Respaldos. Psicolat mantiene respaldos cifrados diarios de los Datos del Cliente, con un punto objetivo de recuperación (RPO) de veinticuatro (24) horas, y procedimientos de restauración de la infraestructura del servicio.
17.2. Suspensión del servicio. La suspensión de la cuenta por mora u otra causa contractual no priva al Responsable del acceso de solo lectura a sus registros clínicos ni de la facultad de exportarlos. Psicolat no retiene registros clínicos como medio de presión por deudas comerciales.
17.3. Cese de operaciones. En caso de decisión de cese de operaciones de la Plataforma, disolución, liquidación o cualquier evento que impida definitivamente la continuidad del servicio, Psicolat: (a) notificará a los Responsables con la máxima anticipación posible y, como mínimo, con noventa (90) días corridos de antelación al cese efectivo del acceso; (b) mantendrá habilitada durante todo ese período la exportación completa de los registros; y (c) solo practicará la eliminación conforme a la Cláusula 16. Esta obligación se establece también en beneficio del deber de conservación que asiste a los Responsables y sobrevive a la terminación de este Acuerdo.
17.4. Contingencias del Responsable. En caso de muerte, incapacidad o imposibilidad definitiva del Responsable persona natural, Psicolat otorgará al sucesor o custodio designado conforme a la Cláusula 6.6, previa acreditación razonable de su identidad y del hecho habilitante, acceso de solo lectura y exportación de los registros, a fin de dar continuidad al deber de conservación y a la atención de los Pacientes. En defecto de designación, Psicolat atenderá los requerimientos de quienes acrediten legalmente la representación o sucesión del Responsable, y aplicará en lo demás el régimen de la Cláusula 16.
17.5. Fuerza mayor. Ninguna de las Partes será responsable por el incumplimiento causado por caso fortuito o fuerza mayor, en los términos del artículo 45 del Código Civil. La Parte afectada notificará a la otra a la brevedad y desplegará esfuerzos razonables para mitigar los efectos y restablecer el cumplimiento. La fuerza mayor no suspende las obligaciones de confidencialidad ni, en cuanto sea materialmente posible, las de seguridad y exportación de datos.
Psicolat proporcionará soporte al Responsable a través de los canales publicados en la Plataforma, y mantendrá un canal prioritario para el reporte de incidentes de seguridad en la dirección indicada en la Cláusula 28.4. Los niveles de servicio adicionales que Psicolat publique u ofrezca contractualmente se regirán por el documento de niveles de servicio correspondiente, que no reducirá las protecciones de este Acuerdo.
19.1. Información. Psicolat pondrá a disposición del Responsable la información razonablemente necesaria para demostrar el cumplimiento de este Acuerdo, incluyendo la descripción de sus medidas de seguridad (Anexo B), su lista de Subencargados (Anexo A) y respuestas a cuestionarios de seguridad razonables.
19.2. Certificaciones e informes. Si Psicolat obtuviere certificaciones o informes de auditoría independientes (tales como ISO/IEC 27001 o SOC 2), los pondrá a disposición del Responsable bajo confidencialidad, y éstos satisfarán, en la medida de su alcance, los requerimientos de auditoría del Responsable. Psicolat no declara poseer certificaciones que no haya obtenido.
19.3. Auditorías del Responsable. El Responsable podrá realizar, por sí o mediante un auditor independiente no competidor de Psicolat y sujeto a confidencialidad, auditorías respecto del tratamiento de sus datos, bajo las siguientes condiciones: (a) máximo una (1) por año calendario, salvo tras una Vulneración de Seguridad material que afecte al Responsable o requerimiento de autoridad competente; (b) preaviso escrito de treinta (30) días y acuerdo razonable de alcance y fechas; (c) ejecución en horario hábil, sin perturbar la operación ni comprometer la seguridad o confidencialidad de datos de otros clientes de la Plataforma; y (d) costos de cargo del Responsable, salvo que la auditoría constate un incumplimiento material de este Acuerdo. Psicolat corregirá dentro de plazos razonables las no conformidades materiales constatadas.
19.4. Autoridad. Lo anterior es sin perjuicio de las facultades de fiscalización de la Agencia y demás autoridades competentes, a las que Psicolat prestará la colaboración debida.
20.1. Los Datos del Cliente pertenecen a la esfera jurídica del Responsable y de los Titulares, según corresponda. Psicolat no adquiere titularidad, derecho de uso propio ni derecho de disposición alguno sobre ellos, no los comercializa y no los utiliza con fines distintos de la prestación del servicio, conforme a las Cláusulas 3 y 12.6.
20.2. La Plataforma, su software, marcas, diseños, documentación, modelos, estructuras de datos y todo desarrollo de Psicolat son y permanecerán de propiedad exclusiva de Psicolat o de sus licenciantes. Este Acuerdo no transfiere al Responsable derecho de propiedad intelectual alguno, sin perjuicio de la licencia de uso del servicio conferida en los Términos de Servicio.
20.3. El Responsable confiere a Psicolat, por la vigencia del tratamiento, la autorización estrictamente necesaria para alojar, procesar, respaldar, transmitir y exhibir los Datos del Cliente con el único fin de prestar el servicio conforme a este Acuerdo.
21.1. Cliente institucional. Cuando el servicio se contrata por una clínica, centro u otra persona jurídica prestadora de salud, dicha entidad es el Responsable y parte de este Acuerdo, y los profesionales que operan bajo su cuenta actúan como usuarios autorizados del Responsable. La distribución interna de deberes entre la institución y los profesionales tratantes —incluida la titularidad de la relación clínica y el deber de conservación— se rige por la relación jurídica entre ellos y por la ley; Psicolat no la determina ni la califica.
21.2. Desvinculaciones. La continuidad de acceso a los registros ante la salida de un profesional de una organización, o el cierre de una organización, se rige por la configuración de la cuenta institucional y por las instrucciones del Responsable respectivo, con pleno respeto del deber de conservación de la Ficha Clínica y de los derechos de los Pacientes.
21.3. Protocolo de neutralidad. Ante instrucciones contradictorias o controversias entre una institución y un profesional respecto de unos mismos registros, Psicolat: (a) mantendrá el statu quo, absteniéndose de ejecutar modificaciones destructivas o transferencias de titularidad de los registros en disputa; (b) preservará el acceso de solo lectura del prestador que figure como generador del registro cuando ello sea necesario para la continuidad asistencial o el cumplimiento de deberes legales; y (c) ejecutará lo que las partes en disputa acuerden por escrito o lo que resuelva la autoridad o el tribunal competente. La adopción de este protocolo no constituye a Psicolat en árbitro ni parte de la controversia.
⚠️ Texto modificado por enmienda. Esta cláusula fue reemplazada íntegramente por la Enmienda N°1. Lo que sigue no está vigente. El texto en vigor es el del Anexo correspondiente, al final de este documento.
22.1. El directorio y marketplace de profesionales —incluida la búsqueda y reserva por parte de personas interesadas, los datos que éstas proporcionen antes del establecimiento de una relación clínica con un Responsable, y las reseñas y valoraciones de profesionales— constituyen tratamientos en los que Psicolat actúa como responsable, regidos por su Política de Privacidad y excluidos del encargo objeto de este Acuerdo.
22.2. Desde el momento en que un Paciente queda vinculado a un Responsable en la Plataforma y sus datos se incorporan al registro clínico de éste, dichos datos pasan a tratarse como Datos del Cliente bajo este Acuerdo.
22.3. Pagos. El procesamiento de pagos se efectúa a través del proveedor de pagos indicado en el Anexo A, el cual actúa como responsable independiente de los tratamientos que la regulación financiera y de prevención de delitos le impone. Psicolat no almacena números completos de tarjetas de pago (PAN); opera con datos tokenizados. En los pagos del marketplace, Psicolat actúa como facilitador tecnológico del pago entre Paciente y Responsable, no como captador ni intermediario de fondos del público.
23.1. Exclusión de daños indirectos. En la máxima medida permitida por la ley, ninguna Parte responderá frente a la otra por lucro cesante, pérdida de negocio, pérdida de ingresos, daño reputacional ni otros perjuicios indirectos o imprevisibles derivados de este Acuerdo.
23.2. Tope general. La responsabilidad total y acumulada de Psicolat frente al Responsable derivada de este Acuerdo se limita al monto total efectivamente pagado por el Responsable a Psicolat por el servicio durante los doce (12) meses anteriores al hecho que genera la responsabilidad.
23.3. Tope reforzado. Tratándose de perjuicios directos causados por el incumplimiento imputable a Psicolat de sus obligaciones de seguridad (Cláusula 9), confidencialidad (Cláusula 8) o notificación de vulneraciones (Cláusula 15), el tope de la Cláusula 23.2 se eleva a dos (2) veces dicho monto.
23.4. Excepciones. Los topes y exclusiones precedentes no se aplican a la responsabilidad derivada de dolo o culpa grave, ni a aquella que conforme a la ley no puede limitarse ni renunciarse anticipadamente.
23.5. Indemnidad del Responsable. El Responsable mantendrá indemne a Psicolat frente a reclamaciones de terceros —incluidos Pacientes y autoridades— y frente a las sanciones, en la medida en que deriven de: (a) el tratamiento de datos por el Responsable sin base de licitud o en infracción de la Legislación de Protección de Datos; (b) instrucciones ilícitas del Responsable ejecutadas por Psicolat pese a la advertencia de la Cláusula 5.3 o sin que Psicolat hubiera podido razonablemente advertir su ilicitud; (c) los contenidos y datos ingresados a la Plataforma por el Responsable, sus usuarios autorizados o sus Pacientes; o (d) el ejercicio por el Responsable de la facultad de eliminación de la Cláusula 16.6.
23.6. Multas administrativas. Cada Parte soportará exclusivamente las multas y sanciones administrativas que la autoridad competente le imponga por sus propios incumplimientos, sin derecho a repetir contra la otra Parte, salvo en la medida en que el incumplimiento sancionado haya sido causado por el hecho o culpa de la otra Parte.
23.7. Responsabilidad frente a titulares. Si una Parte pagare a un Titular una indemnización por un daño causado total o parcialmente por la otra Parte, tendrá derecho a repetir contra ésta en proporción a su participación en el daño.
24.1. Este Acuerdo rige desde su aceptación o suscripción y permanecerá vigente mientras Psicolat trate Datos del Cliente por cuenta del Responsable, incluidos los períodos posteriores al término del servicio previstos en las Cláusulas 16 y 17.
24.2. La terminación del servicio, cualquiera sea su causa, activa el régimen de la Cláusula 16 y no exime a las Partes de las obligaciones devengadas.
24.3. Supervivencia. Sobreviven a la terminación de este Acuerdo, por el tiempo necesario a su objeto: las Cláusulas 8 (Confidencialidad), 11 (Transferencias), 15 (Vulneraciones, respecto de hechos anteriores), 16 (Retención y eliminación), 17.3 y 17.4 (Contingencias), 19 (Auditoría, respecto del período de vigencia), 20 (Propiedad), 23 (Responsabilidad), 27 (Ley y jurisdicción) y 28 (Disposiciones generales).
25.1. Adecuación a la Ley N° 21.719. Las Partes dejan constancia de que la Ley N° 21.719 entra en plena vigencia el 1 de diciembre de 2026. Este Acuerdo se ha redactado conforme a sus exigencias; las referencias a deberes que la ley someta a dicha vigencia se entenderán exigibles desde esa fecha, sin perjuicio de su cumplimiento anticipado y voluntario por las Partes.
25.2. Cambios normativos. Si una modificación de la Legislación de Protección de Datos, o una norma o instrucción de la Agencia, exigiere ajustar este Acuerdo, Psicolat lo modificará en lo estrictamente necesario para asegurar el cumplimiento, notificando al Responsable.
25.3. Modificaciones generales. Psicolat podrá modificar este Acuerdo notificando al Responsable con al menos treinta (30) días corridos de anticipación por los medios de contacto registrados. Si la modificación redujere materialmente las protecciones del Responsable o de los Titulares, el Responsable podrá terminar el servicio antes de su entrada en vigencia, sin penalidad y con pleno ejercicio de su derecho de exportación. El uso del servicio después de la entrada en vigencia de una modificación notificada constituye aceptación de la misma.
Ninguna Parte podrá ceder este Acuerdo sin el consentimiento previo y escrito de la otra, salvo que Psicolat podrá cederlo a una entidad continuadora en el contexto de una fusión, división, transformación o venta de activos, siempre que la entidad cesionaria asuma íntegramente las obligaciones de este Acuerdo y se notifique al Responsable, quedando a salvo su derecho de terminación y exportación conforme a la Cláusula 25.3 si la cesión redujere materialmente sus protecciones.
27.1. Este Acuerdo se rige por las leyes de la República de Chile.
27.2. Toda controversia derivada de este Acuerdo se someterá al conocimiento de los tribunales ordinarios de justicia con asiento en la comuna de Santiago de Chile, prorrogando las Partes competencia a dicho territorio jurisdiccional.
27.3. Tratándose de clientes institucionales que suscriban la versión negociada de este Acuerdo, las Partes podrán pactar en ella la resolución de controversias mediante arbitraje conforme al Reglamento del Centro de Arbitraje y Mediación de la Cámara de Comercio de Santiago (CAM Santiago), ante un árbitro mixto designado según dicho Reglamento.
27.4. Lo anterior es sin perjuicio de los derechos y acciones de los Titulares y de las competencias de la Agencia y demás autoridades, que no se ven afectados por este Acuerdo.
28.1. Ámbito territorial declarado. El servicio se ofrece a profesionales e instituciones establecidos en Chile y en los demás países de Latinoamérica que Psicolat habilite. El Responsable declara que no utilizará la Plataforma: (a) actuando como covered entity o business associate sujeto a la Health Insurance Portability and Accountability Act de los Estados Unidos (HIPAA), respecto de información de salud protegida por dicha ley; ni (b) en calidad de responsable establecido en la Unión Europea o el Reino Unido, ni para ofrecer servicios dirigidos a personas que se encuentren en dichos territorios. La habilitación de tales usos requerirá la suscripción previa de los addenda correspondientes (BAA; cláusulas contractuales tipo de la UE; UK IDTA), que Psicolat no ofrece por el momento.
28.2. Acuerdo completo. Este Acuerdo y sus Anexos constituyen el acuerdo íntegro de las Partes en materia de tratamiento de datos por encargo y prevalecen sobre todo entendimiento previo en la materia.
28.3. Divisibilidad. La nulidad o ineficacia de una estipulación no afectará a las restantes; la estipulación afectada se reemplazará por aquella válida que más se aproxime a su finalidad.
28.4. Notificaciones. Las comunicaciones en materia de este Acuerdo se dirigirán: al Responsable, a los medios de contacto registrados en su cuenta, que se obliga a mantener actualizados; y a Psicolat, a privacidad@psicolat.com (materias de protección de datos y derechos) y seguridad@psicolat.com (reportes e incidentes de seguridad), o a las direcciones que las reemplacen y se publiquen en la Plataforma.
28.5. Idioma. Este Acuerdo se otorga en español. Las traducciones que Psicolat facilite tienen fines informativos; en caso de discrepancia prevalece la versión en español.
28.6. No renuncia. La falta o demora en el ejercicio de un derecho no importa renuncia al mismo.
⚠️ Texto modificado por enmienda. Este Anexo fue modificado por la Enmienda N°2. El texto en vigor es el del Anexo correspondiente, al final de este documento.
| Subencargado | Entidad | Servicio prestado | Datos del Cliente tratados | Ubicación del tratamiento |
|---|---|---|---|---|
| Amazon Web Services | Amazon Web Services, Inc. (y sus filiales prestadoras del servicio contratado) | Infraestructura de nube: cómputo, almacenamiento y respaldos (S3 con cifrado del lado del servidor), gestión de llaves y secretos, servicio de inferencia de IA del Sistema, envío de correos transaccionales (SES) | La totalidad de los Datos del Cliente, cifrados en reposo y en tránsito; direcciones de correo y contenido de avisos transaccionales (sin contenido clínico en el cuerpo del mensaje) | Estados Unidos de América — región us-east-1 (Norte de Virginia) |
| Proveedores de la Lista de IA Elegibles (solo si el Responsable los activa conforme a la Cláusula 12.3) | Según la Lista de IA Elegibles publicada en la Plataforma, que identifica entidad, servicio y ubicación de cada proveedor | Inferencia de IA asistencial alternativa al Proveedor de IA del Sistema | Contexto clínico minimizado y anonimizado conforme a la Cláusula 12.4; sin datos identificativos del Paciente | Según se indica en la Lista de IA Elegibles para cada proveedor |
Notas:
⚠️ Texto modificado por enmienda. El §7 de este Anexo fue modificado por la Enmienda N°2. El texto en vigor es el del Anexo correspondiente, al final de este documento.
Catálogo de controles implementados por Psicolat respecto de los Datos del Cliente, alineado con ISO/IEC 27001, ISO 27799 y las exigencias de seguridad de la Legislación de Protección de Datos.
1. Cifrado y gestión de llaves. Cifrado de datos clínicos en reposo con AES-256; cifrado en tránsito con TLS 1.2 o superior en todos los canales públicos; cifrado de mensajería y de archivos adjuntos en reposo; gestión centralizada de llaves y secretos con rotación periódica en un servicio dedicado de administración de secretos.
2. Control de acceso e identidad. Control de acceso a los registros clínicos basado en la titularidad del registro (cada profesional accede únicamente a sus fichas o a las de su organización, según configuración); autenticación multifactor obligatoria para todo el personal administrativo de Psicolat y disponible y recomendada para los usuarios de la Plataforma; gestión de privilegios bajo el principio de mínimo privilegio y necesidad de conocer; limitación de tasa de solicitudes (rate-limiting) y controles contra automatización abusiva.
3. Acceso administrativo excepcional. Procedimiento reforzado de acceso de emergencia (break-glass) con justificación registrada, autorización de duración limitada con expiración automática, registro íntegro en el log de auditoría y notificación al Responsable, conforme a la Cláusula 8.2.
4. Trazabilidad y registro. Registro de auditoría de los accesos y operaciones sobre los registros clínicos, con réplica en almacenamiento inmutable independiente del entorno de producción; conservación conforme a la Cláusula 16.9; disponibilidad para el Responsable en lo que a sus datos concierne.
5. Respaldo y recuperación. Respaldos cifrados diarios con ciclo de vida definido (expiración a 30 días), almacenados en la misma región de residencia declarada; imágenes de infraestructura para restauración del servicio; punto objetivo de recuperación (RPO) de 24 horas.
6. Seguridad de la operación. Segregación de ambientes; uso exclusivo de datos sintéticos fuera de producción, con eliminación posterior; procesos de gestión de vulnerabilidades y aplicación de actualizaciones de seguridad; revisión periódica de configuraciones conforme a guías de endurecimiento; procesamiento efímero en los servicios internos de generación de documentos (transmisión firmada, eliminación inmediata del contenido y credenciales temporales tras la descarga).
7. Minimización hacia servicios de IA. Proceso de tres capas previo a todo envío de contexto a proveedores de IA: lista blanca de campos, supresión de identificadores del Paciente y barrido automatizado de datos personales en texto libre; evaluación periódica del riesgo de reidentificación; prohibición contractual de entrenamiento y de retención por los proveedores conforme a las Cláusulas 12.2 y 12.3.
8. Personal y organización. Deberes de confidencialidad de todo el personal con subsistencia indefinida; formación en protección de datos y seguridad; punto de contacto de privacidad y de seguridad; registro de actividades de tratamiento; registro interno de incidentes de seguridad; procedimiento de respuesta a incidentes y de notificación conforme a la Cláusula 15.
9. Portabilidad. Exportación de autoservicio de los registros, por Paciente y masiva, en formatos PDF y JSON estructurado.
Psicolat podrá actualizar este Anexo conforme a la Cláusula 9.2, sin reducir el nivel general de seguridad comprometido.
⚠️ Texto modificado por enmienda. Los §1, §4, §5 y §6 de este Anexo fueron modificados por las Enmiendas N°1 y N°3. El texto en vigor es el del Anexo correspondiente, al final de este documento.
1. Objeto y finalidades. Tratamiento de datos personales por cuenta del Responsable, con la exclusiva finalidad de prestar el servicio de la Plataforma: gestión de fichas clínicas electrónicas; agenda y reservas; mensajería clínica de texto entre el Responsable y sus Pacientes; generación, almacenamiento y descarga de documentos clínicos (tales como interconsultas, derivaciones, altas y certificados de atención); emisión de comprobantes y gestión de cobros de las prestaciones del Responsable; funcionalidades de inteligencia artificial asistencial conforme a la Cláusula 12; respaldos, seguridad y soporte del servicio.
2. Duración. La del Acuerdo, conforme a su Cláusula 24, incluidos los períodos posteriores al término del servicio previstos en las Cláusulas 16 y 17.
3. Naturaleza y operaciones. Recolección a través de la Plataforma, registro, estructuración, almacenamiento, conservación, consulta, uso para la prestación del servicio, comunicación al Responsable y a quienes éste autorice, exportación, limitación o bloqueo, y supresión; con exclusión de toda operación de cesión, comercialización o uso para fines propios de Psicolat.
4. Categorías de datos.
5. Categorías de titulares. Pacientes del Responsable, incluidos niños, niñas y adolescentes atendidos con las autorizaciones que exige la ley; representantes legales de Pacientes; terceros mencionados en el registro clínico en cuanto resulte necesario para la atención.
6. Datos excluidos del encargo. Los Datos de Cuenta y los tratamientos de la Cláusula 22 (directorio, marketplace, reseñas y pagos en cuanto tratamiento del proveedor de pagos), que se rigen por la Política de Privacidad de Psicolat.
Psicolat es una marca de Edin SpA. Versión 1.0 de este Acuerdo, vigente desde el 1 de agosto de 2026. La versión vigente se encuentra publicada permanentemente en la Plataforma.
Modifica: Cláusula 3.2, letras (b) y (c); Cláusula 22 (reemplazo íntegro); Anexo C, §1 (Objeto y finalidades); Anexo C, §4 (Categorías de datos); Anexo C, §5 (Categorías de titulares); Anexo C, §6 (Datos excluidos del encargo).
Texto reemplazado:
(b) los datos tratados en el directorio y marketplace de profesionales conforme a la Cláusula 22; (c) las reseñas y valoraciones de profesionales;
Nuevo texto:
(b) los datos del directorio profesional conforme a la Cláusula 22; (c) las recomendaciones entre profesionales;
Nuevo texto:
22. Directorio profesional, reservas y otros tratamientos
22.1. Directorio profesional. El directorio de profesionales de la Plataforma es un espacio entre profesionales, destinado a la visibilidad, derivación y colaboración entre ellos. Los perfiles profesionales —cuyos antecedentes son declarados por cada profesional— y las recomendaciones entre colegas constituyen tratamientos en los que Psicolat actúa como responsable, regidos por su Política de Privacidad y por los Términos de Servicio, y excluidos del encargo objeto de este Acuerdo.
22.2. Reservas, formularios y sitios web. Los datos personales que los Pacientes o terceros ingresen a través de la agenda de reservas, de los formularios o del sitio web profesional del Responsable constituyen Datos del Cliente desde su recolección y se rigen por este Acuerdo, aun cuando la persona no se haya constituido todavía en Paciente del Responsable.
22.3. Pagos. El procesamiento de pagos se efectúa a través del proveedor de pagos indicado en el Anexo A, el cual actúa como responsable independiente de los tratamientos que la regulación financiera y de prevención de delitos le impone. Psicolat no almacena números completos de tarjetas de pago (PAN); opera con datos tokenizados. En los pagos de prestaciones del Responsable procesados a través de la Plataforma, Psicolat actúa como facilitador tecnológico del pago entre el Paciente y el Responsable, no como captador ni intermediario de fondos del público.
Se intercala, a continuación de «generación, almacenamiento y descarga de documentos clínicos (tales como interconsultas, derivaciones, altas y certificados de atención);», lo siguiente:
formularios clínicos y de ingreso definidos por el Responsable; sitios web profesionales del Responsable, incluida la recepción de reservas y de comunicaciones de Pacientes y terceros a través de ellos;
Se agrega el siguiente punto al listado de categorías de los Pacientes:
- Datos de reserva y de contacto recibidos a través de la agenda, los formularios o el sitio web del Responsable: nombre, correo electrónico, teléfono, documento de identidad, país, servicio solicitado, fecha y hora, ubicación o modalidad, notas del solicitante y preferencias de canal de contacto.
Se agrega al final del párrafo:
; y personas que reserven o se comuniquen con el Responsable a través de su agenda, formularios o sitio web, aun antes de constituirse en Pacientes.
Texto reemplazado:
Los Datos de Cuenta y los tratamientos de la Cláusula 22 (directorio, marketplace, reseñas y pagos en cuanto tratamiento del proveedor de pagos), que se rigen por la Política de Privacidad de Psicolat.
Nuevo texto:
Los Datos de Cuenta y los tratamientos de la Cláusula 22.1 y 22.3 (directorio profesional, recomendaciones entre profesionales y pagos en cuanto tratamiento del proveedor de pagos), que se rigen por la Política de Privacidad de Psicolat.
Modifica: Cláusula 12.2 (reemplazo íntegro); Cláusula 11.1 (se agrega un inciso final); Anexo A (Subencargados autorizados); Anexo B, §7 (Minimización hacia servicios de IA).
Texto reemplazado:
12.2. Proveedor de IA del Sistema. El servicio de IA provisto por defecto opera sobre infraestructura de inferencia contratada por Psicolat dentro de su mismo entorno de nube (AWS, región us-east-1), bajo condiciones contractuales que prohíben el uso de los datos enviados para el entrenamiento o mejora de modelos del proveedor y que garantizan su confidencialidad.
Nuevo texto:
12.2. Proveedor de IA del Sistema. El servicio de IA provisto por defecto (el «Proveedor de IA del Sistema») es prestado por un proveedor que Psicolat selecciona de entre los proveedores verificados conforme a su marco de elegibilidad de IA, aplicándose a dicho proveedor los mismos criterios exigidos para la Lista de IA Elegibles de la Cláusula 12.3 (no-entrenamiento; no-retención o retención acotada; confidencialidad y cifrado en tránsito; ubicación de procesamiento identificable; instrumento contractual de tratamiento de datos suscrito por Psicolat). Psicolat identifica en el Anexo A el Proveedor de IA del Sistema activo y su ubicación de procesamiento, y podrá sustituirlo por otro proveedor verificado sujetándose al procedimiento de cambio de Subencargados de la Cláusula 10 (preaviso de treinta días corridos y derecho de objeción). Todo Proveedor de IA del Sistema opera bajo condiciones contractuales que prohíben el uso de los datos enviados para el entrenamiento o mejora de modelos y que garantizan su confidencialidad, y todo envío se somete previamente a la minimización y anonimización de la Cláusula 12.4.
Se agrega, al final de la Cláusula 11.1, el siguiente inciso:
Lo anterior se refiere al alojamiento, respaldo y procesamiento de los Datos del Cliente en cuanto a su almacenamiento y operación de la Plataforma. La inferencia de inteligencia artificial se realiza en la ubicación del Proveedor de IA verificado que se encuentre activo —del Sistema o el elegido por el Responsable—, identificada en el Anexo A o en la Lista de IA Elegibles, y opera exclusivamente sobre contexto clínico minimizado y anonimizado conforme a la Cláusula 12.4 (sin datos identificativos del Paciente). Toda ubicación de inferencia distinta de la región de residencia declarada se ampara en el régimen de transferencias de esta Cláusula 11 y se sujeta al procedimiento de la Cláusula 10.
3.1. En la fila de Amazon Web Services, se suprime de la columna «Servicio prestado» la expresión «servicio de inferencia de IA del Sistema». La fila queda referida a cómputo, almacenamiento y respaldos (S3 con cifrado del lado del servidor), gestión de llaves y secretos, y envío de correos transaccionales (SES). (AWS permanece como proveedor verificado activable para la inferencia del Sistema cuando Psicolat active Bedrock, en cuyo caso se reflejará en la fila siguiente.)
3.2. Se agrega al Anexo A la siguiente fila, antes de la fila de «Proveedores de la Lista de IA Elegibles»:
Proveedor de IA del Sistema (activo) El proveedor verificado que Psicolat tenga activo como Sistema; a la fecha de esta enmienda: Anthropic, PBC (y, cuando se active, Amazon Web Services — Amazon Bedrock) Inferencia de IA asistencial provista por defecto Contexto clínico minimizado y anonimizado conforme a la Cláusula 12.4; sin datos identificativos del Paciente La del proveedor activo, aquí declarada — a la fecha: Estados Unidos de América
3.3. Se agrega la siguiente Nota al Anexo A:
El Proveedor de IA del Sistema se selecciona por Psicolat de entre los proveedores verificados conforme a su marco de elegibilidad de IA. La identidad y ubicación del proveedor activo se mantienen actualizadas en esta lista y en la Lista de Subencargados publicada; toda sustitución se rige por la Cláusula 10.
Se sustituye la referencia final «conforme a las Cláusulas 12.2 y 12.3» por:
conforme a las Cláusulas 12.2, 12.3 y 12.6, aplicándose por igual al Proveedor de IA del Sistema y a los proveedores de la Lista de IA Elegibles, sin excepción por proveedor.
Modifica: Cláusula 12.4 (se agrega un inciso final de alcance); Se incorpora la Cláusula 12.7; Anexo C, §4 (nota de anticipación).
Se agrega, al final de la Cláusula 12.4, el siguiente inciso:
Esta Cláusula rige la totalidad de las funcionalidades de IA asistencial de la Plataforma. Las eventuales funcionalidades de IA de procesamiento de contenido en que la anonimización previa no sea técnicamente aplicable se rigen por la Cláusula 12.7 y solo podrán operar bajo las salvaguardas allí establecidas.
Nuevo texto:
12.7. Herramientas de IA de procesamiento de contenido (posibilidad futura reservada). Psicolat podrá, en el futuro y con carácter opcional, ofrecer funcionalidades de IA que procesen contenido clínico identificable cuando la minimización y anonimización previa de la Cláusula 12.4 no sea técnicamente aplicable —tales como la transcripción de sesiones o entrevistas y la traducción de idioma—. Ninguna funcionalidad de esta naturaleza se habilitará sino bajo la totalidad copulativa de las siguientes salvaguardas:
- (a) Retención cero. El proveedor operará bajo un régimen de retención cero de datos (Zero Data Retention) o una salvaguarda de efecto equivalente, de modo que no almacene el contenido enviado ni sus resultados, salvo lo que la ley imponga.
- (b) Declaración previa. Actualización previa del Anexo C conforme a la Cláusula 25.3, identificando la nueva categoría de tratamiento, su finalidad y su base de licitud.
- (c) Consentimiento específico. Consentimiento informado y específico para ese tratamiento, del Responsable y —cuando la naturaleza del dato lo exija— del Paciente o su representante.
- (d) Evaluación previa. Evaluación documentada de riesgo y de re-identificación del nuevo flujo, con criterio de aprobación del Encargado de Protección de Datos.
- (e) Proveedor verificado. Proveedor verificado conforme al marco de elegibilidad de IA, bajo instrumento contractual (BAA o DPA del proveedor) que prohíba el entrenamiento con los datos.
- (f) Opt-in y transparencia. Carácter estrictamente opcional (opt-in), con divulgación clara al Responsable de qué se procesa, por quién y con qué salvaguardas; desactivable en todo momento.
- (g) Supervisión humana. El resultado (transcripción, traducción u otro) no se incorpora a la Ficha Clínica sin la revisión y decisión expresa del profesional, conforme a la Cláusula 12.5.
Mientras no se active una funcionalidad de esta naturaleza cumpliendo íntegramente lo anterior, la Cláusula 12.4 rige la totalidad de las funcionalidades de IA vigentes. La prohibición de entrenamiento de la Cláusula 12.6 aplica sin excepción también a estas funcionalidades.
Se sustituye la última oración del Anexo C §4 —»La incorporación de nuevas categorías (por ejemplo, telemedicina con audio o video) requerirá la actualización previa de este Anexo conforme a la Cláusula 25.3.»— por:
La incorporación de nuevas categorías o modalidades de tratamiento —por ejemplo, telemedicina con audio o video, o herramientas de IA de procesamiento de contenido como transcripción o traducción (Cláusula 12.7)— requerirá la actualización previa de este Anexo conforme a la Cláusula 25.3, con las salvaguardas que en cada caso correspondan.